I multimediaramen GStreamer, som anvÀnds i GNOME, har 10 sÄrbarheter identifierats, alla mÀrkta som möjliggörande för fjÀrrkodexekvering vid hantering av felaktigt formaterade multimediafiler i formaten AVI, RTP, H.266, JPEG, ASF och RealMedia, samt undertexter i DVB-SUB. TvÄ problem har tilldelats en risknivÄ pÄ 8,8 av 10, medan de andra har 7,8. à tta sÄrbarheter leder till dataöverflöde, medan tvÄ resulterar i heltalsöverflöde.
- CVE-2026-3085, CVE-2026-3083 â buffertöverflöden i rtp-pluginen, som uppstĂ„r pĂ„ grund av bristande storleks- och datakontroller vid hantering av X-QDM RTP-fĂ€lt.
- CVE-2026-2923 â buffertöverflöde vid hantering av felaktiga koordinater i undertexter i DVB-SUB.
- CVE-2026-3081 â buffertöverflöde pĂ„ grund av bristande storlekskontroller för strukturer vid tolkning av H.266-formatet (VVC, Versatile Video Coding).
- CVE-2026-3082 â buffertöverflöde pĂ„ grund av avsaknad av adekvata storlekskontroller vid tolkning av Huffman-tabeller i JPEG-bilder.
- CVE-2026-2920 â buffertöverflöde pĂ„ grund av bristande storlekskontroller vid tolkning av multimedia kontainerhuvuden i ASF-format.
- CVE-2026-2922 â buffertöverflöde pĂ„ grund av bristande strukturkontroller vid tolkning av multimedia kontainrar i RealMedia-format.
- CVE-2026-2921 â heltalsöverflöde vid tolkning av RIFF-block med palett i AVI-filer.
- CVE-2026-3084 â heltalsöverflöde i implementeringen av H.266-codec vid tolkning av sektioner med bilder.
- CVE-2026-3086 â buffertöverflöde i implementeringen av H.266-codec vid tolkning av APS-block.
GStreamer-biblioteket anvÀnds för att tolka multimediafiler i applikationer som Nautilus (GNOME Files), GNOME Videos och Rhythmbox, samt i det utvecklade GNOME-projektet för sökmotorn localsearch (tidigare kallad tracker-miners). Denna motor installeras i mÄnga distributioner som en beroende av paketet tracker-extract, som anvÀnds av GNOME för automatisk tolkning av metadata i nya filer. Bland annat indexerar tjÀnsten alla filer i hemkatalogen utan nÄgot anvÀndarens ingripande. För att en attack ska vara möjlig rÀcker det med att skapa en sÀrskilt skapad multimediafil i anvÀndarens katalog, och sÄrbarheten kommer att utnyttjas under den automatiska indexeringen.
I de flesta distributioner med GNOME aktiveras localsearch-komponenter (tracker-miners) som standard och laddas som en strikt beroende av filhanteraren Nautilus (GNOME Files). FrÄn och med GNOME 46 startas localsearch-processen med sandlÄdisolering. För att inaktivera extrahering av metadata kan man ta bort reglerfiler frÄn katalogen /usr/share/localsearch3/extract-rules/ eller /usr/share/tracker3-miners/extract-rules/.
SÄrbarheter har ÄtgÀrdats i GStreamer 1.28.1-uppdateringen. Status för ÄtgÀrdade sÄrbarheter i distributioner kan utvÀrderas pÄ följande sidor (om sidan inte Àr tillgÀnglig, betyder det att distributionens utvecklare Ànnu inte har börjat behandla problemet): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.
KĂ€lla: opennet.ru
