Im Multimedia-Framework GStreamer, das in GNOME verwendet wird, wurden 10 Sicherheitsanfälligkeiten entdeckt, die alle als kritisch eingestuft sind und eine Remote-Code-Ausführung beim Verarbeiten falsch formatierter Mediendaten in den Formaten AVI, RTP, H.266, JPEG, ASF und RealMedia sowie von DVB-SUB-Untertiteln ermöglichen. Zwei der Probleme sind mit einem Schweregrad von 8,8 von 10 klassifiziert, während die anderen mit 7,8 bewertet werden. Acht Schwachstellen führen zu einem Speicherüberlauf, und zwei zu einem ganzzahligen Überlauf.
- CVE-2026-3085, CVE-2026-3083 — Speicherüberläufe im rtp-Plugin, die aufgrund unzureichender Größen- und Datenprüfungen bei der Verarbeitung von X-QDM RTP-Feldern auftreten.
- CVE-2026-2923 — Speicherüberlauf bei der Verarbeitung fehlerhafter Koordinaten in DVB-SUB-Untertiteln.
- CVE-2026-3081 — Speicherüberlauf aufgrund fehlender Überprüfungen der Struktgröße beim Parsen des H.266 (VVC, Versatile Video Coding) Formats.
- CVE-2026-3082 — Speicherüberlauf aufgrund fehlender angemessener Größenprüfungen beim Parsen von Huffman-Tabellen in JPEG-Bildern.
- CVE-2026-2920 — Speicherüberlauf infolge fehlender ausreichender Größenprüfungen beim Parsen von Headern von Multimedia-Containern im ASF-Format.
- CVE-2026-2922 — Bufferüberlauf aufgrund unzureichender Überprüfung von Strukturen beim Parsen von Multimediacontainern im RealMedia-Format.
- CVE-2026-2921 — Ganzzahlüberlauf beim Parsen von RIFF-Blöcken mit einer Farbpalette in AVI-Dateien.
- CVE-2026-3084 — Ganzzahlüberlauf in der Implementierung des H.266-Codecs beim Parsen von Sektionen mit Bildern.
- CVE-2026-3086 — Bufferüberlauf in der Implementierung des H.266-Codecs beim Parsen von APS-Blöcken.
Die GStreamer-Bibliothek wird zum Parsen von Multimedia-Dateien in Anwendungen wie Nautilus (GNOME Files), GNOME Videos und Rhythmbox verwendet, sowie im im Rahmen des GNOME-Projekts entwickelten Suchmaschinen-Engine localsearch (früher als tracker-miners bekannt). Diese Engine wird in vielen Distributionen als Abhängigkeit des Pakets tracker-extract installiert, das in GNOME zur automatischen Analyse von Metadaten neuer Dateien verwendet wird. Unter anderem indiziert dieser Dienst alle Dateien im Home-Verzeichnis, ohne dass der Benutzer aktiv eingreifen muss. Daher genügt es, einen speziell erstellten Multimedia-Datei im Benutzerverzeichnis abzulegen, damit die Schwachstelle während der automatischen Indizierung ausgenutzt werden kann.
In den meisten Distributionen mit GNOME sind die Komponenten localsearch (tracker-miners) standardmäßig aktiviert und werden als feste Abhängigkeit für den Dateimanager Nautilus (GNOME Dateien) geladen. Ab GNOME 46 wird der localsearch-Prozess unter Verwendung von Sandbox-Isolierung gestartet. Um die Erfassung von Metadaten zu deaktivieren, können die Regeldateien aus den Verzeichnissen /usr/share/localsearch3/extract-rules/ oder /usr/share/tracker3-miners/extract-rules/ entfernt werden.
Die Sicherheitslücken wurden mit dem Update auf GStreamer 1.28.1 behoben. Den Status der Behebung von Sicherheitslücken in den Distributionen können Sie auf den folgenden Seiten einsehen (wenn die Seite nicht verfügbar ist, haben die Entwickler der Distribution das Problem möglicherweise noch nicht angegangen): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.
Quelle: opennet.ru
