Der Release von Wayland-Protocols 1.39 unterstützt experimentelle Protokolle.

Im Multimedia-Framework GStreamer, das in GNOME verwendet wird, wurden 29 Sicherheitsanfälligkeiten entdeckt. Acht dieser Anfälligkeiten führen zu einem Buffer-Overflow, und eine (CVE-2024-47540) ermöglicht das Überschreiben eines Funktionszeigers. Diese Anfälligkeiten können potenziell von Angreifern ausgenutzt werden, um die Ausführung von Code bei der Verarbeitung von fehlerhaft formatierten Multimedia-Daten in den Formaten MKV, MP4, Ogg, Vorbis und Opus sowie von Untertiteln im SSA-Format zu initiieren. Die anderen Anfälligkeiten führen zu Nullzeiger-Dereferenzen oder dem Lesen aus dem Speicher außerhalb des Puffers und können genutzt werden, um einen Absturz auszulösen.

Die GStreamer-Bibliothek wird zur Analyse von Multimedia-Dateien in den Anwendungen Nautilus (GNOME Files), GNOME Videos und Rhythmbox sowie im von GNOME entwickelten Such-Engine-Projekt tracker-miners eingesetzt. Diese Engine wird in vielen Distributionen als Abhängigkeit zum Paket tracker-extract installiert, das in GNOME zur automatischen Analyse von Metadaten in neuen Dateien verwendet wird. Unter anderem indexiert dieser Dienst alle Dateien im Home-Verzeichnis ohne Benutzereingriff. Daher reicht es aus, dass eine speziell erstellte Multimedia-Datei im Benutzerverzeichnis erscheint, um die Anfälligkeit während der automatischen Indizierung auszunutzen.

Die Sicherheitsanfälligkeiten wurden im Update GStreamer 1.24.10 (Pakete gst-plugins-good, gst-plugins-base, gstreamer-plugins-ogg, gstreamer-plugins-opus, gstreamer-plugins-vorbis) behoben. Neben den 29 Anfälligkeiten, die von Forschern des GitHub Security Lab entdeckt wurden, wurden in Version 1.24.10 auch 11 weitere Anfälligkeiten behoben. Updates in den Distributionen können auf den folgenden Seiten verfolgt werden: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. In den meisten Distributionen mit GNOME wird die Komponente tracker-miners standardmäßig aktiviert und als harte Abhängigkeit zum Dateimanager Nautilus (GNOME Files) geladen. Um tracker-miners zu deaktivieren, können die folgenden Befehle verwendet werden:

systemctl —user mask tracker-store.service tracker-miner-fs.service tracker-miner-rss.service tracker-extract.service tracker-miner-apps.service tracker-writeback.service tracker reset —hard

Quelle: opennet.ru