V multimediálnom rámci GStreamer, používanom v GNOME, bolo zistených 10 zraniteľností, všetky označené ako umožňujúce vzdialené vykonanie kódu pri spracovaní nesprávne formátovaných multimediálnych údajov v formátoch AVI, RTP, H.266, JPEG, ASF a RealMedia, ako aj titulkov DVB-SUB. Dvom problémom bol priradený stupeň nebezpečenstva 8.8 z 10, ostatným 7.8. Osem zraniteľností vedie k zápisu dát mimo vyrovnávacej pamäte, a dve k pretečeniu celého čísla.
- CVE-2026-3085, CVE-2026-3083 — pretečenia vyrovnávacej pamäte v plugine rtp, ktoré vznikajú z dôvodu nedostatočnej kontroly veľkosti a údajov pri spracovaní polí X-QDM RTP.
- CVE-2026-2923 — pretečenie vyrovnávacej pamäte pri spracovaní nesprávnych súradníc v titulkoch DVB-SUB.
- CVE-2026-3081 — pretečenie vyrovnávacej pamäte z dôvodu nesprávnej kontroly veľkosti štruktúr pri rozbore formátu H.266 (VVC, Versatile Video Coding).
- CVE-2026-3082 — pretečenie vyrovnávacej pamäte z dôvodu nedostatočných kontrol veľkosti pri rozbore Huffmanových tabuliek v obrázkoch JPEG.
- CVE-2026-2920 — pretečenie vyrovnávacej pamäte z dôvodu nedostatočných kontrol veľkosti pri rozbore hlavičiek multimediálnych kontajnerov vo formáte ASF.
- CVE-2026-2922 — pretečenie vyrovnávacej pamäte z dôvodu nesprávnej kontroly štruktúr pri rozbore multimediálnych kontajnerov vo formáte RealMedia.
- CVE-2026-2921 — pretečenie celého čísla pri rozbore RIFF blokov s paletou v súboroch AVI.
- CVE-2026-3084 — pretečenie celého čísla v implementácii kodeku H.266 pri rozbore sekcií s obrázkami.
- CVE-2026-3086 — pretečenie vyrovnávacej pamäte v implementácii kodeku H.266 pri rozbore APS blokov.
Knižnica GStreamer sa používa na rozbor multimediálnych súborov v aplikáciách Nautilus (GNOME Files), GNOME Videos a Rhythmbox, ako aj v rozvíjanom projekte GNOME vyhľadávacom nástroji localsearch (predtým nazývanom tracker-miners). Tento motor je inštalovaný v mnohých distribúciách ako závislosť pre balík tracker-extract, ktorý sa v GNOME používa na automatické spracovanie metadát v nových súboroch. Mimo iného, uvedená služba indexuje všetky súbory v domácom adresári bez akýchkoľvek akcií zo strany používateľa. Takže na útok stačí dosiahnuť, aby sa v adresári používateľa objavil špeciálne vytvorený multimediálny súbor a zraniteľnosť bude využitá počas jeho automatickej indexácie.
Vo väčšine distribúcií s GNOME sú komponenty localsearch (tracker-miners) predvolene aktivované a načítané ako pevná závislosť pre správcu súborov Nautilus (GNOME Files). Od GNOME 46 sa proces localsearch spúšťa s využitím izolácie sandboxu. Pre vypnutie extrakcie metadat sa dajú odstrániť súbory s pravidlami z adresára /usr/share/localsearch3/extract-rules/ alebo /usr/share/tracker3-miners/extract-rules/.
Zraniteľnosti boli odstránené v aktualizácii GStreamer 1.28.1. Stav odstránenia zraniteľností v distribúciách je možné posúdiť na týchto stránkach (ak je stránka nedostupná, znamená to, že vývojári distribúcie sa ešte nezačali zaoberať problémom): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.
Zdroj: opennet.ru
