10 уязвимости в GStreamer, водещи до отдалено изпълнение на код

В мултимедийната рамка GStreamer, използвана в GNOME, са открити 10 уязвимости, всички от които са маркирани като допускащи отдалечено изпълнение на код при обработка на неправилно форматирани мултимедийни данни в формати AVI, RTP, H.266, JPEG, ASF и RealMedia, както и субтитри DVB-SUB. На две от проблемите е присвоен ниво на опасност 8.8 от 10, а на останалите 7.8. Осем уязвимости водят до запис на данни извън буфера, а две до препълване на цели числа.

• CVE-2026-3085, CVE-2026-3083 — препълване на буфера в плъгина rtp, причинено от липсата на адекватна проверка на размера и данните при обработка на полета X-QDM RTP.
• CVE-2026-2923 — препълване на буфера при обработка на неправилни координати в субтитри DVB-SUB.
• CVE-2026-3081 — препълване на буфера поради неправилна проверка на размера на структурите при анализ на формата H.266 (VVC, Versatile Video Coding).
• CVE-2026-3082 — препълване на буфера поради липса на адекватни проверки на размера при анализ на Хаффман таблици в JPEG изображения.
• CVE-2026-2920 — препълване на буфера поради липса на адекватни проверки на размера при анализ на заглавките на мултимедийните контейнери в ASF формат.
• CVE-2026-2922 — препълване на буфера поради неправилна проверка на структурите при анализ на мултимедийните контейнери в RealMedia формат.
• CVE-2026-2921 — препълване на цели числа при анализ на RIFF блокове с палитра в AVI файлове.
• CVE-2026-3084 — препълване на цели числа в реализацията на кодека H.266 при анализ на секции с изображения.
• CVE-2026-3086 — препълване на буфера в реализацията на кодека H.266 при анализ на APS блокове.

Библиотеката GStreamer се използва за анализ на мултимедийни файлове в приложенията Nautilus (GNOME Files), GNOME Videos и Rhythmbox, а също така в разработвания проект GNOME за търсачка localsearch (преди наречена tracker-miners). Тази търсачка се инсталира в много дистрибуции като зависимост на пакета tracker-extract, използван в GNOME за автоматичен анализ на метаданни в нови файлове. Сред другото, посочената услуга индексирuje всички файлове в домашната директория без никакви действия от страна на потребителя. Така, за атака е достатъчно да се появи в директорията на потребителя специално създаден мултимедиен файл и уязвимостта ще бъде експлоатирана по време на автоматичната му индексация.

В повечето дистрибуции с GNOME компонентите localsearch (tracker-miners) се активират по подразбиране и се зареждат като задължителна зависимост към файловия мениджър Nautilus (GNOME Files). Започвайки от GNOME 46, процесът localsearch се стартира с използване на изолация в пясъчна кутия. За да деактивирате извличането на метаданни, можете да изтриете файловете с правила от директорията /usr/share/localsearch3/extract-rules/ или /usr/share/tracker3-miners/extract-rules/.

Уязвимостите са отстранени в обновлението GStreamer 1.28.1. Статусът на отстраняването на уязвимостите в дистрибуциите може да бъде оценен на следните страници (ако страницата не е налична, значи разработчиците на дистрибуцията все още не са започнали да разглеждат проблема): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.

Източник: opennet.ru