Nel framework multimediale GStreamer, utilizzato in GNOME, sono state identificate 10 vulnerabilità, tutte etichettate come suscettibili di esecuzione remota di codice durante l'elaborazione di dati multimediali malformati nei formati AVI, RTP, H.266, JPEG, ASF e RealMedia, così come nei sottotitoli DVB-SUB. Due problemi hanno ricevuto un punteggio di criticità di 8.8 su 10, mentre gli altri 7.8. Otto vulnerabilità portano a scrivere dati al di fuori del buffer, e due a un overflow intero.
- CVE-2026-3085, CVE-2026-3083 — overflow del buffer nel plugin rtp, causato dalla mancanza di controlli adeguati sulla dimensione e sui dati durante l'elaborazione dei campi X-QDM RTP.
- CVE-2026-2923 — overflow del buffer durante l'elaborazione di coordinate malformate nei sottotitoli DVB-SUB.
- CVE-2026-3081 — overflow del buffer a causa di controlli inadeguati sulla dimensione delle strutture durante l'analisi del formato H.266 (VVC, Versatile Video Coding).
- CVE-2026-3082 — overflow del buffer a causa della mancanza di controlli adeguati sulla dimensione durante l'analisi delle tabelle di Huffman nelle immagini JPEG.
- CVE-2026-2920 — overflow del buffer a causa della mancanza di controlli adeguati sulla dimensione durante l'analisi degli header dei contenitori multimediali nel formato ASF.
- CVE-2026-2922 — overflow del buffer a causa di controlli inadeguati sulle strutture durante l'analisi dei contenitori multimediali nel formato RealMedia.
- CVE-2026-2921 — overflow intero durante l'analisi dei blocchi RIFF con palette in file AVI.
- CVE-2026-3084 — overflow intero nell'implementazione del codec H.266 durante l'analisi delle sezioni con immagini.
- CVE-2026-3086 — overflow del buffer nell'implementazione del codec H.266 durante l'analisi dei blocchi APS.
La libreria GStreamer è utilizzata per l'analisi di file multimediali nelle applicazioni Nautilus (GNOME Files), GNOME Videos e Rhythmbox, così come nel motore di ricerca localsearch (precedentemente noto come tracker-miners) sviluppato da GNOME. Questo motore è installato in molte distribuzioni come dipendenza del pacchetto tracker-extract, utilizzato in GNOME per l'analisi automatica dei metadati nei nuovi file. Tra l'altro, il servizio indicizza tutti i file nella home directory senza alcuna azione da parte dell'utente. Di conseguenza, per un attacco è sufficiente inserire un file multimediale appositamente creato nella cartella dell'utente e la vulnerabilità verrà sfruttata durante la sua indicizzazione automatica.
Nella maggior parte delle distribuzioni con GNOME, i componenti localsearch (tracker-miners) vengono attivati per impostazione predefinita e caricati come dipendenza obbligatoria per il gestore di file Nautilus (GNOME Files). A partire da GNOME 46, il processo localsearch viene avviato utilizzando l'isolamento sandbox. Per disattivare l'estrazione dei metadati, è possibile eliminare i file delle regole dalla directory /usr/share/localsearch3/extract-rules/ o /usr/share/tracker3-miners/extract-rules/.
Le vulnerabilità sono state risolte nell'aggiornamento di GStreamer 1.28.1. È possibile valutare lo stato della risoluzione delle vulnerabilità nelle distribuzioni alle seguenti pagine (se la pagina non è disponibile, significa che gli sviluppatori della distribuzione non hanno ancora iniziato a esaminare il problema): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.
Fonte: opennet.ru
