Im Multimedia-Framework GStreamer, das in GNOME verwendet wird, wurden 10 Sicherheitsanfälligkeiten entdeckt, die alle als anfällig für die Ausführung von entfernten Codes bei der Verarbeitung von fehlerhaft formatierten Multimedia-Daten in den Formaten AVI, RTP, H.266, JPEG, ASF und RealMedia sowie DVB-SUB-Untertiteln eingestuft werden. Zwei Probleme wurden mit einem Gefährdungsgrad von 8,8 von 10 bewertet, während die anderen 7,8 erhalten haben. Acht Sicherheitsanfälligkeiten führen zu Pufferüberläufen, zwei zu einem Überlauf bei Ganzzahlen.
- CVE-2026-3085, CVE-2026-3083 — Pufferüberläufe im rtp-Plugin, die aufgrund unzureichender Überprüfung der Größe und Daten bei der Verarbeitung von X-QDM RTP-Feldern auftreten.
- CVE-2026-2923 — Pufferüberlauf bei der Verarbeitung fehlerhafter Koordinaten in DVB-SUB-Untertiteln.
- CVE-2026-3081 — Pufferüberlauf aufgrund unzureichender Überprüfung der Strukturgrößen beim Parsen des H.266 (VVC, Versatile Video Coding)-Formats.
- CVE-2026-3082 — Pufferüberlauf aufgrund unzureichender Größenprüfungen beim Parsen von Huffman-Tabellen in JPEG-Bildern.
- CVE-2026-2920 — Pufferüberlauf aufgrund unzureichender Größenprüfungen beim Parsen von Headern von Multimedia-Containern im ASF-Format.
- CVE-2026-2922 — Pufferüberlauf aufgrund unzureichender Überprüfung von Strukturen beim Parsen von Multimedia-Containern im RealMedia-Format.
- CVE-2026-2921 — Ganzzahliger Überlauf beim Parsen von RIFF-Blöcken mit Palette in AVI-Dateien.
- CVE-2026-3084 — Ganzzahliger Überlauf in der Implementierung des H.266-Codecs beim Parsen von Sektionen mit Bildern.
- CVE-2026-3086 — Pufferüberlauf in der Implementierung des H.266-Codecs beim Parsen von APS-Blöcken.
Die GStreamer-Bibliothek wird zur Analyse von Multimedia-Dateien in den Anwendungen Nautilus (GNOME-Dateien), GNOME-Videos und Rhythmbox sowie im von GNOME entwickelten Suchdienst localsearch (früher tracker-miners) verwendet. Dieser Dienst wird in vielen Distributionen als Abhängigkeit des tracker-extract-Pakets installiert, das in GNOME zur automatischen Analyse von Metadaten in neuen Dateien verwendet wird. Unter anderem indiziert dieser Dienst alle Dateien im Home-Verzeichnis, ohne dass der Benutzer eingreifen muss. Daher genügt es, wenn eine speziell erstellte Multimedia-Datei im Benutzerverzeichnis erscheint, um die Sicherheitsanfälligkeit während der automatischen Indizierung auszunutzen.
In den meisten Distributionen mit GNOME werden die Komponenten localsearch (tracker-miners) standardmäßig aktiviert und als feste Abhängigkeit für den Dateimanager Nautilus (GNOME Files) geladen. Seit GNOME 46 wird der localsearch-Prozess mit Sandbox-Isolation gestartet. Um das Extrahieren von Metadaten zu verhindern, können die Regeldateien aus dem Verzeichnis /usr/share/localsearch3/extract-rules/ oder /usr/share/tracker3-miners/extract-rules/ entfernt werden.
Die Sicherheitsanfälligkeiten wurden im Update GStreamer 1.28.1 behoben. Den Status der Behebung der Sicherheitsanfälligkeiten in den Distributionen können Sie auf diesen Seiten einsehen (wenn die Seite nicht verfügbar ist, haben die Entwickler der Distribution das Problem noch nicht aufgegriffen): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.
Quelle: opennet.ru
