10 vulnérabilités dans GStreamer entraînant une exécution de code à distance

Le framework multimédia GStreamer, utilisé dans GNOME, présente 10 vulnérabilités, toutes marquées comme permettant l'exécution de code à distance lors du traitement de données multimédias mal formées dans les formats AVI, RTP, H.266, JPEG, ASF et RealMedia, ainsi que des sous-titres DVB-SUB. Deux problèmes ont été classés comme ayant un niveau de gravité de 8,8 sur 10, tandis que les autres sont à 7,8. Huit vulnérabilités entraînent un débordement de tampon, et deux causent un dépassement d'entier.

• CVE-2026-3085, CVE-2026-3083 — débordements de tampon dans le plugin rtp, survenant en raison d'un manque de vérification adéquate de la taille et des données lors du traitement des champs X-QDM RTP.
• CVE-2026-2923 — débordement de tampon lors du traitement de coordonnées incorrectes dans les sous-titres DVB-SUB.
• CVE-2026-3081 — débordement de tampon dû à une vérification incorrecte de la taille des structures lors du parsing du format H.266 (VVC, Versatile Video Coding).
• CVE-2026-3082 — débordement de tampon en raison de l'absence de vérifications appropriées de la taille lors du parsing des tables de Huffman dans les images JPEG.
• CVE-2026-2920 — débordement de tampon dû à l'absence de vérifications appropriées lors de l'analyse des en-têtes des conteneurs multimédias au format ASF.
• CVE-2026-2922 — débordement de tampon en raison de la vérification incorrecte des structures lors du parsing des conteneurs multimédias au format RealMedia.
• CVE-2026-2921 — dépassement d'entier lors du parsing des blocs RIFF avec palette dans les fichiers AVI.
• CVE-2026-3084 — dépassement d'entier dans l'implémentation du codec H.266 lors du parsing des sections contenant des images.
• CVE-2026-3086 — débordement de tampon dans l'implémentation du codec H.266 lors du parsing des blocs APS.

La bibliothèque GStreamer est utilisée pour le parsing des fichiers multimédias dans les applications Nautilus (GNOME Files), GNOME Videos et Rhythmbox, ainsi que dans le moteur de recherche localsearch développé par GNOME (anciennement nommé tracker-miners). Ce moteur est installé dans de nombreuses distributions en tant que dépendance du paquet tracker-extract, utilisé dans GNOME pour le parsing automatique des métadonnées des nouveaux fichiers. Entre autres, ce service indexe tous les fichiers dans le répertoire personnel sans aucune intervention de l'utilisateur. Ainsi, pour qu'une attaque soit possible, il suffit qu'un fichier multimédia spécialement créé apparaisse dans le répertoire de l'utilisateur et la vulnérabilité sera exploitée lors de son indexation automatique.

Dans la plupart des distributions avec GNOME, les composants localsearch (tracker-miners) sont activés par défaut et sont chargés comme une dépendance stricte du gestionnaire de fichiers Nautilus (GNOME Files). À partir de GNOME 46, le processus localsearch est lancé avec une isolation sandbox. Pour désactiver l'extraction de métadonnées, vous pouvez supprimer les fichiers de règles dans le répertoire /usr/share/localsearch3/extract-rules/ ou /usr/share/tracker3-miners/extract-rules/.

Les vulnérabilités ont été corrigées dans la mise à jour GStreamer 1.28.1. Le statut de correction des vulnérabilités dans les distributions peut être évalué sur ces pages (si la page est inaccessible, cela signifie que les développeurs de la distribution n'ont pas encore commencé à traiter le problème) : Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.

Source : opennet.ru