GStreamer'i multimeedia raamistiku, mida kasutatakse GNOME'is, tuvastati 29 haavatavust. Kaheksa haavatavust võivad põhjustada andmete kirjutamise puude vahemikest ning üks (CVE-2024-47540) funktsiooni näidiku üle kirjutamise. Need haavatavused võivad potentsiaalselt võimaldada ründajatel koodi täitmist vale vormindusega multimeedia andmete, sealhulgas MKV, MP4, Ogg, Vorbis ja Opus formaatses ning SSA formaadis subtiitrite töötlemisel. Ülejäänud haavatavused võivad põhjustada nullnäidiku dereferentsi või mälu lugemise puude vahemikust, st neid saab kasutada kokkuvarisemise algatamiseks.
GStreamer'i teeki kasutatakse multimeedia failide töötlemiseks Nautilus (GNOME Files), GNOME Videos ja Rhythmbox rakendustes, samuti GNOME'i arendatavas otsingumootoris tracker-miners. See teenus installitakse paljudele jaotustele tracker-extract paketi sõltuvusena, mida GNOME kasutab automaatseks metainformatsiooni töötlemiseks uutes failides. Muuhulgas indekseerib see teenus kõik failid koduaknas ilma kasutaja sekkumiseta. Seega piisab rünnakuks, kui kasutaja katalooge satub spetsiaalselt loodud multimeedia fail, ja haavatavus käivitatakse selle automaatse indekseerimise käigus.
Haavatavused on kõrvaldatud GStreamer'i 1.24.10 värskenduses (paketid gst-plugins-good, gst-plugins-base, gstreamer-plugins-ogg, gstreamer-plugins-opus, gstreamer-plugins-vorbis). Lisaks 29 haavatavusele, mida tuvastasid GitHub Security Labi uurijad, teatatakse versioonis 1.24.10 veel 11 haavatavuse parandamisest. Uuenduste ilmumist jaotustes saab jälgida järgmistel lehtedel: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Enamikus GNOME'i jaotustes aktiveeritakse tracker-miners komponent vaikimisi ja laaditakse Nautilus (GNOME Files) failihalduri tugevate sõltuvustena. tracker-miners'i väljalülitamiseks saab kasutada järgmisi käske:
systemctl —user mask tracker-store.service tracker-miner-fs.service tracker-miner-rss.service tracker-extract.service tracker-miner-apps.service tracker-writeback.service tracker reset —hard
Allikas: opennet.ru
