Në kuadrin multimedial GStreamer, i përdorur në GNOME, janë identifikuar 29 dobësi. Tetë dobësi çojnë në shkruajtjen e të dhënave përtej tamponit, ndërsa njëra (CVE-2024-47540) çon në riparimin e një treguesi funksioni. Këto dobësi mund të shfrytëzohen potencialisht nga sulmuesit për të ndarë kod në procesimin e të dhënave multimediale të krijuara keq në formate si MKV, MP4, Ogg, Vorbis dhe Opus, si dhe në titra në formatin SSA. Dobësi të tjera çojnë në dereferencimin e një treguesi null ose në leximin e të dhënave jashtë tamponit, pra ato mund të përdoren për të iniciuar një dështim sistematik.
Biblioteka GStreamer përdoret për të analizuar skedarët multimedial në aplikacionet Nautilus (GNOME Files), GNOME Videos dhe Rhythmbox, si dhe në motorin e kërkimit tracker-miners që zhvillohet nga projekti GNOME. Ky motor instalohet në shumë distribucione si varësi e paketës tracker-extract, e cila përdoret në GNOME për analizimin automatik të të dhënave të metadatas në skedarë të rinj. Ndër të tjera, ky shërbim indekson të gjithë skedarët në katalogun e shtëpisë pa ndonjë veprim nga përdoruesi. Pra, për të realizuar një sulm, mjafton të krijohet një skedar multimedial në katalogun e përdoruesit dhe dobësia do të shfrytëzohet gjatë indeksonit automatik.
Dobësitë janë zgjidhur në përditësimin GStreamer 1.24.10 (paketat gst-plugins-good, gst-plugins-base, gstreamer-plugins-ogg, gstreamer-plugins-opus, gstreamer-plugins-vorbis). Përveç 29 dobësive të identifikuara nga hulumtuesit e Laboratorit të Sigurisë në GitHub, në versionin 1.24.10 janë raportuar gjithashtu 11 dobësi të tjera të rregulluara. Mund të ndihmohet me kontrollimin e përditësimeve në distribucione në këto faqe: Debian, Ubuntu, RHEL, SUSE/openSUSE, Fedora, Arch, FreeBSD. Në shumicën e distribuimeve me GNOME, komponenti tracker-miners aktivizohet si parazgjedhje dhe ngarkohet si varësi e fortë për menaxherin e skedarëve Nautilus (GNOME Files). Për të çaktivizuar tracker-miners, mund të përdoren komandat:
systemctl âuser mask tracker-store.service tracker-miner-fs.service tracker-miner-rss.service tracker-extract.service tracker-miner-apps.service tracker-writeback.service tracker reset âhard
Burimi: opennet.ru
