{"id":163928,"date":"2026-03-11T17:11:54","date_gmt":"2026-03-11T15:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/10-uyazvimostej-v-gstreamer-privodyashhih-k-udalyonnomu-vypolneniyu-koda"},"modified":"2026-03-11T17:11:54","modified_gmt":"2026-03-11T15:11:54","slug":"10-uyazvimostej-v-gstreamer-privodyashhih-k-udalyonnomu-vypolneniyu-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/10-uyazvimostej-v-gstreamer-privodyashhih-k-udalyonnomu-vypolneniyu-koda","title":{"rendered":"10 kwetsbaarheden in GStreamer, die leiden tot externe code-uitvoering","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In het multimediakader GStreamer, dat in GNOME wordt gebruikt, zijn 10 kwetsbaarheden ontdekt, die allemaal zijn gemarkeerd als bevattende afstandsbediening code-uitvoering bij de verwerking van onjuist geformatteerde multimediagegevens in de formaten AVI, RTP, H.266, JPEG, ASF en RealMedia, evenals ondertitels DVB-SUB. Twee van de problemen hebben een gevaarlijkheidsniveau van 8.8 uit 10, en de andere 7.8. Acht kwetsbaarheden leiden tot gegevensoverschrijding buiten de buffer, en twee tot een gehele getaloverloop. <\/p>\n
\n
CVE-2026-3085, CVE-2026-3083 \u2014 buffer overflow in the rtp plugin, occurring due to insufficient size and data checks when processing X-QDM RTP fields.\n
CVE-2026-2923 \u2014 buffer overflow when processing incorrect coordinates in DVB-SUB subtitles.\n
CVE-2026-3081 \u2014 buffer overflow due to incorrect size checks of structures when parsing the H.266 (VVC, Versatile Video Coding) format.\n
CVE-2026-3082 \u2014 buffer overflow due to lack of proper size checks when parsing Huffman tables in JPEG images.\n
CVE-2026-2920 \u2014 buffer overflow due to insufficient size checks when parsing multimedia container headers in the ASF format.\n
CVE-2026-2922 \u2014 buffer overflow due to incorrect structure checks when parsing multimedia containers in the RealMedia format.\n
CVE-2026-2921 \u2014 integer overflow when parsing RIFF blocks with a palette in AVI files.\n
CVE-2026-3084 \u2014 integer overflow in the implementation of the H.266 codec when parsing sections with images.\n
CVE-2026-3086 \u2014 buffer overflow in the implementation of the H.266 codec when parsing APS blocks. <\/ul>\n
De GStreamer-bibliotheek wordt gebruikt voor het parseren van multimediabestanden in de Nautilus (GNOME-bestanden), GNOME Video's en Rhythmbox-toepassingen, evenals in de door GNOME ontwikkelde zoekmachine localsearch (voorheen tracker-miners). Deze engine wordt in veel distributies als afhankelijkheid van het tracker-extract pakket ge\u00efnstalleerd, dat in GNOME wordt gebruikt voor het automatisch parseren van metadata in nieuwe bestanden. Daarnaast indexeert deze service alle bestanden in de thuismap zonder gebruik van gebruikersacties. Daarom is het voldoende om een speciaal gemaakt multimediabestand in de gebruikersdirectory te hebben om de kwetsbaarheid te laten optreden tijdens de automatische indexing. <\/p>\n
In de meeste distributies met GNOME zijn de localsearch-componenten (tracker-miners) standaard ingeschakeld en worden ze geladen als een harde afhankelijkheid van de bestandsbeheerder Nautilus (GNOME Files). Vanaf GNOME 46 wordt het localsearch-proces echter gestart met sandbox-isolatie. Om het extraheren van metadata uit te schakelen, kunnen de bestanden met regels uit de map \/usr\/share\/localsearch3\/extract-rules\/ of \/usr\/share\/tracker3-miners\/extract-rules\/ worden verwijderd. <\/p>\n
Kwetsbaarheden zijn verholpen in de update van GStreamer 1.28.1. De status van het verhelpen van kwetsbaarheden in de distributies kan worden beoordeeld op de volgende pagina's (als de pagina niet toegankelijk is, betekent dit dat de distributeurs nog niet zijn begonnen met het onderzoeken van het probleem): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"