V multimediálním rámci GStreamer, používaném v GNOME, bylo zjištěno 10 zranitelností, z nichž všechny jsou označeny jako umožňující vzdálené spuštění kódu při zpracování neplatně formátovaných multimediálních dat ve formátech AVI, RTP, H.266, JPEG, ASF a RealMedia, stejně jako titulků DVB-SUB. Dvou problémům byla přiřazena úroveň závažnosti 8.8 z 10, zatímco ostatní mají 7.8. Osm zranitelností vede k zápisu dat mimo vyrovnávací paměť a dvě k přetečení celých čísel.
- CVE-2026-3085, CVE-2026-3083 — přetečení vyrovnávací paměti v pluginu rtp, k němuž dochází v důsledku nedostatečné kontroly velikosti a dat při zpracování polí X-QDM RTP.
- CVE-2026-2923 — přetečení vyrovnávací paměti při zpracování neplatných souřadnic v titulcích DVB-SUB.
- CVE-2026-3081 — přetečení vyrovnávací paměti z důvodu nesprávné kontroly velikosti struktur při analýze formátu H.266 (VVC, Versatile Video Coding).
- CVE-2026-3082 — přetečení vyrovnávací paměti z důvodu nedostatečných kontrol velikosti při analýze Huffmanových tabulek v obrázcích JPEG.
- CVE-2026-2920 — přetečení vyrovnávací paměti z důvodu nedostatečných kontrol velikosti při analýze hlaviček multimediálních kontejnerů ve formátu ASF.
- CVE-2026-2922 — přetečení vyrovnávací paměti z důvodu nesprávné kontroly struktur při analýze multimediálních kontejnerů ve formátu RealMedia.
- CVE-2026-2921 — přetečení celého čísla při analýze bloků RIFF s paletou v souborech AVI.
- CVE-2026-3084 — přetečení celého čísla v implementaci kodeku H.266 při analýze sekcí s obrázky.
- CVE-2026-3086 — přetečení vyrovnávací paměti v implementaci kodeku H.266 při analýze bloků APS.
Knihovna GStreamer se používá k analýze multimediálních souborů v aplikacích Nautilus (GNOME Files), GNOME Videos a Rhythmbox, stejně jako v projektu GNOME vyvíjeném vyhledávači localsearch (dříve nazývaném tracker-miners). Tento motor je instalován ve mnoha distribucích jako závislost na balíčku tracker-extract, který se používá v GNOME k automatické analýze metadat v nových souborech. Mimo jiné tento servis indexuje všechny soubory v domácím adresáři bez jakýchkoli zásahů od uživatele. Tím pádem, aby došlo k útoku, stačí vytvořit speciálně upravený multimediální soubor v uživatelském adresáři, a zranitelnost bude explotována během jeho automatické indexace.
Ve většině distribucí s GNOME jsou komponenty localsearch (tracker-miners) ve výchozím nastavení aktivovány a načítány jako pevná závislost pro správce souborů Nautilus (GNOME Files). Od GNOME 46 se proces localsearch spouští s použitím sandboxové izolace. Pro deaktivaci extrakce metadat lze smazat soubory s pravidly z adresáře /usr/share/localsearch3/extract-rules/ nebo /usr/share/tracker3-miners/extract-rules/.
Zranitelnosti byly odstraněny v aktualizaci GStreamer 1.28.1. Stav odstranění zranitelností v distribucích lze posoudit na těchto stránkách (pokud je stránka nedostupná, znamená to, že vývojáři distribuce se ještě nezačali zabývat problémem): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.
Zdroj: opennet.ru
