I multimediarammeværket GStreamer, der anvendes i GNOME, er der opdaget 10 sårbarheder, der alle er markeret som mulige for remote code execution ved behandling af ukorrekt formaterede multimediedata i formaterne AVI, RTP, H.266, JPEG, ASF og RealMedia samt undertekster DVB-SUB. To problemer er tildelt en faregrad på 8,8 ud af 10, mens de øvrige har 7,8. Otte sårbarheder medfører data skrivning uden for bufferen, mens to fører til heltals overflow.
- CVE-2026-3085, CVE-2026-3083 — buffer overflow i RTP-pluginet, der opstår på grund af manglende korrekt kontrol af størrelsen og dataene ved behandling af X-QDM RTP-felter.
- CVE-2026-2923 — buffer overflow ved behandling af ukorrekte koordinater i underteksterne DVB-SUB.
- CVE-2026-3081 — buffer overflow på grund af manglende korrekt kontrol af størrelsen af strukturer ved parsing af H.266 (VVC, Versatile Video Coding) formatet.
- CVE-2026-3082 — buffer overflow på grund af manglende korrekt størrelsekontrol ved parsing af Huffman-tabeller i JPEG-billeder.
- CVE-2026-2920 — buffer overflow på grund af manglende korrekt kontrol ved parsing af overskrifter i multimediecontainerne i ASF-formatet.
- CVE-2026-2922 — buffer overflow på grund af forkert kontrol af strukturer ved parsing af multimediecontainere i RealMedia-formatet.
- CVE-2026-2921 — heltals overflow ved parsing af RIFF-blokke med paletter i AVI-filer.
- CVE-2026-3084 — heltals overflow i implementeringen af H.266 codec ved parsing af sektioner med billeder.
- CVE-2026-3086 — buffer overflow i implementeringen af H.266 codec ved parsing af APS-blokke.
GStreamer-biblioteket anvendes til at parse multimediefiler i applikationer som Nautilus (GNOME Files), GNOME Videos og Rhythmbox samt i det under udvikling GNOME-projekt for søgemaskinen localsearch (tidligere kaldt tracker-miners). Denne motor installeres i mange distributioner som en afhængighed af pakken tracker-extract, der anvendes i GNOME til automatisk parsing af metadata i nye filer. Blandt andet indekserer den nævnte tjeneste alle filer i hjemmemappen uden brugerens handling. Dermed er det tilstrækkeligt at få et specielt oprettet multimediefil til at vises i brugerens mappe, og sårbarheden vil blive udnyttet under den automatiske indeksering.
I de fleste delfin-distributioner med GNOME aktiveres localsearch-komponenterne (tracker-miners) som standard og indlæses som en hård afhængighed til filhåndtereren Nautilus (GNOME Files). Fra og med GNOME 46 startes localsearch-processen med brug af sandbox-isolering. For at deaktivere metadata-udtræk kan filer med regler fjernes fra mappen /usr/share/localsearch3/extract-rules/ eller /usr/share/tracker3-miners/extract-rules/.
Sikkerhedssår er blevet rettet i opdateringen GStreamer 1.28.1. Status for udbedring af sårbarheder i distributionerne kan vurderes på de følgende sider (hvis siden ikke er tilgængelig, betyder det, at distributionens udviklere endnu ikke er begyndt at se på problemet): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.
Kilde: opennet.ru
