U multimedijskom okviru GStreamer koji se koristi u GNOME-u, otkriveno je 10 ranjivosti, od kojih su sve označene kao omogućene za daljinsko izvršavanje koda prilikom obrade neispravnih multimedijskih podataka u formatima AVI, RTP, H.266, JPEG, ASF i RealMedia, kao i titlova DVB-SUB. Dvije probleme su ocijenjene s razinom opasnosti 8.8 od 10, dok su ostale 7.8. Osam ranjivosti dovodi do pisanja podataka izvan bafera, a dvije do cjelobrojnog preljevanja.
- CVE-2026-3085, CVE-2026-3083 — preljevi bafera u rtp pluginu, koji se pojavljuju zbog nedostatka odgovarajuće provjere veličine i podataka prilikom obrade X-QDM RTP polja.
- CVE-2026-2923 — preljevi bafera prilikom obrade neispravnih koordinata u DVB-SUB titlovima.
- CVE-2026-3081 — preljevi bafera zbog neispravne provjere veličine struktura prilikom parsiranja H.266 (VVC, Versatile Video Coding) formata.
- CVE-2026-3082 — preljevi bafera zbog nedostatka odgovarajućih provjera veličine prilikom parsiranja Huffmanovih tablica u JPEG slikama.
- CVE-2026-2920 — preljevi bafera zbog nedostatka odgovarajućih provjera veličine prilikom parsiranja zaglavlja multimedijskih kontejnera u ASF formatu.
- CVE-2026-2922 — preljevi bafera zbog neispravne provjere struktura prilikom parsiranja multimedijskih kontejnera u RealMedia formatu.
- CVE-2026-2921 — cjelobrojno preljevanje prilikom parsiranja RIFF blokova s paletom u AVI datotekama.
- CVE-2026-3084 — cjelobrojno preljevanje u implementaciji H.266 kodeka prilikom parsiranja sekcija s slikama.
- CVE-2026-3086 — preljevi bafera u implementaciji H.266 kodeka prilikom parsiranja APS blokova.
GStreamer biblioteka se koristi za parsiranje multimedijskih datoteka u aplikacijama Nautilus (GNOME Files), GNOME Videos i Rhythmbox, kao i u razvoju GNOME pretraživača localsearch (ranije poznat kao tracker-miners). Ovaj motor se instalira u mnogim distribucijama kao zavisnost paketa tracker-extract, koji se koristi u GNOME-u za automatsko parsiranje metapodataka u novim datotekama. Osim toga, navedena usluga indeksira sve datoteke u domaćem katalogu bez bilo kakvih radnji korisnika. Tako da je za napad dovoljno kreirati posebno oblikovanu multimedijsku datoteku u korisničkom katalogu, a ranjivost će biti iskorištena tokom njene automatske indeksacije.
U većini distribucija s GNOME-om, komponente localsearch (tracker-miners) aktiviraju se prema zadanim postavkama i učitavaju se kao obavezna ovisnost za upravitelj datoteka Nautilus (GNOME Files). Također, počevši od GNOME 46, proces localsearch pokreće se koristeći sandbox izolaciju. Da biste onemogućili vađenje metapodataka, možete ukloniti datoteke s pravilima iz direktorija /usr/share/localsearch3/extract-rules/ ili /usr/share/tracker3-miners/extract-rules/.
Ranljivosti su ispravljene u ažuriranju GStreamer 1.28.1. Status ispravljenih ranjivosti u distribucijama možete procijeniti na sljedećim stranicama (ako stranica nije dostupna, to znači da se razvojni tim distribucije još nije počeo baviti problemom): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.
Izvor: opennet.ru
