GNOME-is kasutatavas multimeedia raamistikus GStreamer on tuvastatud 29 haavatavust. Kaheksa haavatavust põhjustavad mälupuhvri ületäitumise ja üks (CVE-2024-47540) funktsiooni näitaja ülekirjutamise. Need haavatavused võivad potentsiaalselt võimaldada kurjategijatel koodi täitmist vale formaadiga multimeedia andmete töötlemisel MKV, MP4, Ogg, Vorbis ja Opus formaatides, samuti SSA formaadi subtiitrites. Ülejäänud haavatavused põhjustavad nullviite dereferentseerimist või mälu lugemist puhvri piiridest ning võivad seega kasutada süsteemi häkatsemiseks.
GStreameri teek kasutatakse multimeedia failide parsimiseks rakendustes Nautilus (GNOME Files), GNOME Videos ja Rhythmbox, samuti arendatavas GNOME-i projekti otsimootoris tracker-miners. See mootori tööriist instalitakse paljude jaotuste puhul tracker-extract paketi sõltuvusena, mida GNOME kasutab uute failide metaandmete automaatseks lugemiseks. Üksikasjalikud teenused indekseerivad kõik failid kodu kataloogis ilma kasutaja sekkumiseta. Seega piisab, kui võime veenda, et spetsiaalselt loodud multimeedia fail ilmub kasutaja katalooge ja haavatavus käivitatakse selle automaatse indekseerimise ajal.
Haavatavused on kõrvaldatud GStreamer 1.24.10 uuenduses (paketid gst-plugins-good, gst-plugins-base, gstreamer-plugins-ogg, gstreamer-plugins-opus, gstreamer-plugins-vorbis). Peale 29 haavatavuse, mille avastasid GitHub Security Lab-i teadlased, on versioonis 1.24.10 parandatud veel 11 haavatavust. Jaotustes uuenduste jälgimiseks saab vaadata järgmisi lehti: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Enamik GNOME jaotusi aktiveerib tracker-miners vaikimisi ja laadib selle kui tootega seotud sõltuvust Nautilus (GNOME Files) failihaldurisse. Tracker-miners'i keelamiseks saab kasutada järgmisi käske:
systemctl —user mask tracker-store.service tracker-miner-fs.service tracker-miner-rss.service tracker-extract.service tracker-miner-apps.service tracker-writeback.service tracker reset —hard
Allikas: opennet.ru
