CVE-2026-112214

ŚrednieCVSS 6.5

Opublikowano: 19/10/2026(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

W demultiplekserze ASF GStreamera w gst-plugins-ugly występuje luka. Podczas parsowania obiektu Simple Index kontrolowana przez atakującego liczba wpisów jest używana do rozmiaru alokacji sterty bez ograniczenia do ładunku dostępnego w obiekcie. Przetwarzanie spreparowanego pliku ASF, WMV lub WMA może spowodować żądanie bardzo dużej alokacji pamięci i doprowadzić do odmowy usługi, jeśli alokacja się nie powiedzie lub proces jest ograniczony pamięciowo.

Ocena ryzyka

Atakujący może dostarczyć spreparowany plik multimedialny, który po przetworzeniu spowoduje wyczerpanie pamięci i awarię aplikacji, prowadząc do odmowy usługi. Ryzyko dotyczy systemów przetwarzających pliki ASF, WMV lub WMA za pomocą GStreamera.

Rekomendacja

Zaktualizuj gst-plugins-ugly do wersji zawierającej poprawkę, jeśli jest dostępna. Unikaj przetwarzania niezaufanych plików multimedialnych lub ogranicz zasoby pamięci dla procesów GStreamera.

Inne podatności w GStreamer gst-plugins-ugly

CVE-2017-5847Wysokie
Funkcja gst_asf_demux_process_ext_content_desc w gst-plugins-ugly w GStreamer umożliwia zdalnym atakującym spowodowanie odmowy usługi poprzez odczyt poza granicami pamięci stosu, wykorzystując rozszerzone opisy treści.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in the GStreamer ASF demuxer in gst-plugins-ugly. When parsing a Simple Index object, an attacker-controlled entry count is used to size a heap allocation without being limited to the payload available in the object. Processing a crafted ASF, WMV, or WMA file can cause a very large memory allocation request and lead to denial of service if the allocation fails or the process is memory-constrained.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS