したがって、ALAS2023-2026-2121 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    GStreamer MRFファイル解析の領域外書き込みリモートコード実行の脆弱性。この脆弱性により、リモート攻撃者は影響を受ける GStreamer のインストールで任意のコードを実行する可能性があります。標的となるユーザーが悪意のあるページにアクセスするか、悪意のあるファイルを開く必要があるため、この脆弱性を悪用するにはユーザーの操作が必要です。

    MRF ファイルの解析に固有の欠陥が存在します。この問題は、ユーザー指定のデータが適切に検証されていないために発生しており、割り振られているバッファの範囲を超えて書き込みが行われる可能性があります。攻撃者はこの脆弱性を利用して、現在のプロセスのコンテキストでコードを実行する可能性があります。ZDI-CAN-29510 でした。(CVE-2026-18295)

    GStreamer gst-plugins-goodパッケージに欠陥が見つかりました。rtph264depay および rtph265depay RTP デペイローダー要素は、断片化された RTP パケット処理中に使用される再アセンブリバッファに、最大サイズ制限を強制しません。認証されていないリモートの攻撃者が、フラグメントの終わりマーカーをまったく送信することなく、RTP フラグメントの連続ストリームを送信し、プロセスメモリを使い果たすまで再アセンブリバッファを制限なく増大させる可能性があります。その結果、プロセス停止によるサービス拒否が発生します。
    (CVE-2026-18649)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : gstreamer1-plugins-good、gstreamer1-plugins-good-gtk (ALAS2023-2026-2121)

high Nessus プラグイン ID 342045

バージョン 1.1