No framework multimídia GStreamer, utilizado no GNOME, foram identificadas 10 vulnerabilidades, todas marcadas como permitindo execução remota de código ao processar dados multimídia malformados nos formatos AVI, RTP, H.266, JPEG, ASF e RealMedia, assim como legendas DVB-SUB. Duas das questões receberam um nível de gravidade de 8.8 em 10 e as outras 7.8. Oito vulnerabilidades causam escrita de dados além do buffer, e duas causam estouro de inteiro.
- CVE-2026-3085, CVE-2026-3083 — estouros de buffer no plugin rtp, ocorrendo devido à falta de verificação adequada do tamanho e dados ao processar campos X-QDM RTP.
- CVE-2026-2923 — estouro de buffer ao processar coordenadas incorretas nas legendas DVB-SUB.
- CVE-2026-3081 — estouro de buffer devido à verificação inadequada do tamanho das estruturas ao analisar o formato H.266 (VVC, Versatile Video Coding).
- CVE-2026-3082 — estouro de buffer devido à falta de verificações adequadas do tamanho ao analisar tabelas de Huffman em imagens JPEG.
- CVE-2026-2920 — estouro de buffer devido à falta de verificações adequadas do tamanho ao analisar cabeçalhos de contêineres multimídia no formato ASF.
- CVE-2026-2922 — estouro de buffer devido à verificação inadequada das estruturas ao analisar contêineres multimídia no formato RealMedia.
- CVE-2026-2921 — estouro de inteiro ao analisar blocos RIFF com paleta em arquivos AVI.
- CVE-2026-3084 — estouro de inteiro na implementação do codec H.266 ao analisar seções com imagens.
- CVE-2026-3086 — estouro de buffer na implementação do codec H.266 ao analisar blocos APS.
A biblioteca GStreamer é utilizada para analisar arquivos multimídia em aplicativos Nautilus (GNOME Files), GNOME Videos e Rhythmbox, assim como no motor de busca localsearch (anteriormente chamado de tracker-miners), desenvolvido pelo GNOME. Este motor é instalado em várias distribuições como dependência do pacote tracker-extract, utilizado no GNOME para a análise automática de metadados em novos arquivos. Entre outras coisas, este serviço indexa todos os arquivos no diretório pessoal sem nenhuma ação por parte do usuário. Assim, para um ataque, basta que um arquivo multimídia especificamente criado apareça no diretório do usuário e a vulnerabilidade será explorada durante sua indexação automática.
Na maioria das distribuições com GNOME, os componentes localsearch (tracker-miners) são ativados por padrão e carregados como uma dependência rígida do gerenciador de arquivos Nautilus (GNOME Files). A partir do GNOME 46, o processo localsearch é iniciado com o uso de isolamento sandbox. Para desativar a extração de metadados, é possível remover os arquivos de regras do diretório /usr/share/localsearch3/extract-rules/ ou /usr/share/tracker3-miners/extract-rules/.
As vulnerabilidades foram corrigidas na atualização do GStreamer 1.28.1. O status da correção das vulnerabilidades nas distribuições pode ser avaliado nas seguintes páginas (se a página não estiver acessível, significa que os desenvolvedores da distribuição ainda não começaram a abordar o problema): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.
Fonte: opennet.ru
