Nel framework multimediale GStreamer, utilizzato in GNOME, sono state scoperte 10 vulnerabilità, tutte contrassegnate come idonee all'esecuzione remota di codice durante l'elaborazione di dati multimediali formattati in modo errato nei formati AVI, RTP, H.266, JPEG, ASF e RealMedia, nonché nei sottotitoli DVB-SUB. Due problemi hanno un livello di gravità di 8.8 su 10, mentre gli altri hanno un livello di 7.8. Otto vulnerabilità portano a scritture di dati oltre il buffer, e due a un overflow intero.
- CVE-2026-3085, CVE-2026-3083 — overflow del buffer nel plugin rtp, a causa della mancanza di un adeguato controllo delle dimensioni e dei dati durante l'elaborazione dei campi X-QDM RTP.
- CVE-2026-2923 — overflow del buffer durante l'elaborazione di coordinate errate nei sottotitoli DVB-SUB.
- CVE-2026-3081 — overflow del buffer a causa di un'errata verifica delle dimensioni delle strutture durante l'analisi del formato H.266 (VVC, Versatile Video Coding).
- CVE-2026-3082 — overflow del buffer a causa della mancanza di adeguate verifiche delle dimensioni durante l'analisi delle tabelle di Huffman nelle immagini JPEG.
- CVE-2026-2920 — overflow del buffer a causa della mancanza di adeguate verifiche delle dimensioni durante l'analisi delle intestazioni dei contenitori multimediali nel formato ASF.
- CVE-2026-2922 — overflow del buffer a causa di un'errata verifica delle strutture durante l'analisi dei contenitori multimediali nel formato RealMedia.
- CVE-2026-2921 — overflow intero durante l'analisi dei blocchi RIFF con palette nei file AVI.
- CVE-2026-3084 — overflow intero nell'implementazione del codec H.266 durante l'analisi delle sezioni contenenti immagini.
- CVE-2026-3086 — overflow del buffer nell'implementazione del codec H.266 durante l'analisi dei blocchi APS.
La libreria GStreamer è utilizzata per analizzare file multimediali nelle applicazioni Nautilus (GNOME Files), GNOME Videos e Rhythmbox, oltre che nel motore di ricerca localsearch sviluppato da GNOME (precedentemente chiamato tracker-miners). Questo motore è installato in molte distribuzioni come dipendenza del pacchetto tracker-extract, utilizzato in GNOME per l'analisi automatica dei metadati nei nuovi file. Tra le altre cose, il servizio indicizza tutti i file nella cartella home senza alcuna interazione da parte dell'utente. Pertanto, per attaccare, è sufficiente far apparire un file multimediale appositamente creato nella cartella dell'utente e la vulnerabilità verrà sfruttata durante la sua indicizzazione automatica.
Nella maggior parte delle distribuzioni con GNOME, i componenti localsearch (tracker-miners) sono attivati per impostazione predefinita e caricati come dipendenza necessaria per il file manager Nautilus (GNOME Files). Inoltre, a partire da GNOME 46, il processo localsearch viene avviato utilizzando l'isolamento sandbox. Per disabilitare l'estrazione dei metadati, è possibile rimuovere i file con le regole dalla cartella /usr/share/localsearch3/extract-rules/ o /usr/share/tracker3-miners/extract-rules/.
Le vulnerabilità sono state risolte nell'aggiornamento GStreamer 1.28.1. Lo stato di risoluzione delle vulnerabilità nelle distribuzioni può essere valutato sui seguenti siti (se la pagina non è disponibile, significa che gli sviluppatori della distribuzione non hanno ancora iniziato a esaminare il problema): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.
Fonte: opennet.ru
