CVE-2026-46469
ŚrednieCVSS 4.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W GStreamer gst-plugins-good przed wersją 1.28.2 wykryto problem. Podczas parsowania ścieżek audio MP4 funkcja qtdemux_parse_trak wtyczki isomp4 nie waliduje wystarczająco danych atomów przed wykonaniem operacji dzielenia, co prowadzi do odmowy usługi z powodu dzielenia przez zero.
Ocena ryzyka
Przetwarzanie złośliwego pliku MP4 może spowodować awarię aplikacji lub usługi korzystającej z GStreamer, prowadząc do odmowy usługi. Może to zakłócić działanie systemów przetwarzających multimedia.
Rekomendacja
Zaktualizuj gst-plugins-good do wersji 1.28.2 lub nowszej. Unikaj przetwarzania niezaufanych plików multimedialnych do czasu wdrożenia aktualizacji.
Inne podatności w GStreamer gst-plugins-good
Zobacz wszystkie- CVE-2026-119843Średnie
W pakiecie gst-plugins-good projektu GStreamer demultiplekser FLV nieprawidłowo weryfikuje rozmiary buforów i dostępność danych podczas przetwarzania rozszerzonych znaczników audio i wideo w zniekształconych lub obciętych strumieniach FLV. Zdalny atakujący może wykorzystać tę podatność, dostarczając specjalnie spreparowany plik FLV, który po otwarciu lub strumieniowaniu przez aplikację opartą na GStreamer wywołuje błąd asercji lub awarię procesu, prowadząc do odmowy usługi.
- CVE-2026-46472Wysokie
Odkryto problem w GStreamer gst-plugins-good przed wersją 1.28.2. Podczas parsowania pliku MP4 funkcja qtdemux_parse_chnl wtyczki isomp4 może odczytać dane poza końcem globalnej tablicy, co potencjalnie prowadzi do ujawnienia informacji.
- CVE-2017-5845Wysokie
Funkcja gst_avi_demux_parse_ncdt w gst-plugins-good w GStreamer przed wersją 1.10.3 pozwala zdalnym atakującym na spowodowanie awarii usługi poprzez nieprawidłowe odczyty pamięci, co prowadzi do jej zawieszenia.
- CVE-2017-5841Wysokie
Funkcja gst_avi_demux_parse_ncdt w gst-plugins-good w GStreamer przed wersją 1.10.3 umożliwia zdalnym atakującym wywołanie odmowy usługi poprzez odczyt poza granicami pamięci stosu związany z tagami ncdt.
- CVE-2016-10199Wysokie
Funkcja qtdemux_tag_add_str_full w gst/isomp4/qtdemux.c w GStreamer przed wersją 1.10.3 umożliwia zdalnym atakującym spowodowanie odmowy usługi (odczyt poza zakresem i awaria) poprzez spreparowaną wartość tagu.
- CVE-2026-46471Średnie
Odkryto problem w GStreamer gst-plugins-good przed wersją 1.28.2. Podczas parsowania pliku MP4 funkcja qtdemux_parse_uuid wtyczki isomp4 może odczytać dane poza końcem bufora alokowanego na stercie, co pozwala atakującemu na ujawnienie zawartości pamięci sterty.
- CVE-2026-18649Wysokie
W pakiecie GStreamer gst-plugins-good elementy rtph264depay i rtph265depay nie egzekwują maksymalnego limitu rozmiaru bufora składania podczas przetwarzania fragmentowanych pakietów RTP. Zdalny atakujący może wysyłać ciągły strumień fragmentów RTP bez znacznika końca, powodując niekontrolowany wzrost bufora i wyczerpanie pamięci procesu.
- CVE-2026-46470Średnie
Podatność w GStreamer gst-plugins-good przed wersją 1.28.2. Podczas parsowania ścieżek audio MP4 funkcja qtdemux_audio_caps w pluginie isomp4 nie waliduje wystarczająco danych atomów przed wykonaniem operacji dzielenia, co prowadzi do odmowy usługi wskutek dzielenia przez zero.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in GStreamer gst-plugins-good before 1.28.2. When parsing MP4 audio tracks, the isomp4 plugin's qtdemux_parse_trak function does not sufficiently validate atom data before performing division operations, leading to denial of service due to integer division by zero.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS