Десет ранливости се идентификувани во мултимедијалната рамка GStreamer што се користи во GNOME, од кои сите се означени како ранливости што дозволуваат далечинско извршување на код при обработка на деформирани мултимедијални податоци во форматите AVI, RTP, H.266, JPEG, ASF и RealMedia, како и DVB-SUB титлови. На два проблеми им е доделено ниво на сериозност од 8.8 од 10, а на преостанатите 7.8. Осум од ранливостите резултираат со запишување во баферот надвор од границите, а две резултираат со прелевање на цели броеви.
- CVE-2026-3085, CVE-2026-3083 - Прелевање на баферот во rtp приклучокот поради недостаток на соодветна големина и валидација на податоци при обработка на X-QDM RTP полиња.
- CVE-2026-2923 — Прелевање на баферот при обработка на неточни координати во DVB-SUB титлови.
- CVE-2026-3081 – Прелевање на баферот поради неточна валидација на големините на структурата при парсирање на форматот H.266 (VVC, Разновидно видео кодирање).
- CVE-2026-3082 – Прелевање на баферот поради недостаток на соодветни проверки на големината при парсирање на Хафманови табели во JPEG слики.
- CVE-2026-2920 – Прелевање на баферот поради недостаток на соодветни проверки на големината при парсирање на заглавија на ASF мултимедијални контејнери.
- CVE-2026-2922 – Прелевање на баферот поради неправилна валидација на структурата при парсирање на мултимедијални контејнери на RealMedia.
- CVE-2026-2921 – Прелевање на цели броеви при парсирање на RIFF блокови со палета во AVI датотеки.
- CVE-2026-3084 – Постои прелевање на цели броеви во имплементацијата на H.266 кодекот при парсирање на делови од слики.
- CVE-2026-3086 — Прелевање на баферот во имплементацијата на H.266 кодекот при парсирање на APS блокови.
Библиотеката GStreamer се користи за парсирање на мултимедијални датотеки во Nautilus (GNOME Files), GNOME Videos и Rhythmbox, како и во пребарувачот localsearch (порано познат како tracker-miners) развиен од проектот GNOME. Овој пребарувач е инсталиран во многу дистрибуции како зависност од пакетот tracker-extract, кој GNOME го користи за автоматско парсирање на метаподатоците во новите датотеки. Меѓу другото, оваа услуга ги индексира сите датотеки во домашниот директориум на корисникот без никаква интеракција со корисникот. Затоа, за да се изврши напад, доволно е да се креира специјално изработена мултимедијална датотека во директориумот на корисникот, а ранливоста ќе биде искористена за време на нејзиното автоматско индексирање.
Во повеќето дистрибуции на GNOME, компонентите за локално пребарување (tracker-miners) се овозможени по дифолт и се вчитуваат како тврда зависност од менаџерот на датотеки Nautilus (GNOME Files). Сепак, почнувајќи од GNOME 46, процесот на локално пребарување работи во изолација од песочник. За да го оневозможите извлекувањето на метаподатоци, можете да ги избришете датотеките со правила од директориумот /usr/share/localsearch3/extract-rules/ или /usr/share/tracker3-miners/extract-rules/.
Ранливостите беа поправени во ажурирањето на GStreamer 1.28.1. Статусот на поправките на ранливостите во дистрибуциите може да се процени на овие страници (доколку страницата е недостапна, развивачите на дистрибуцијата сè уште не започнале со истражување на проблемот): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.
Извор: opennet.ru
