リモートの AlmaLinux 9 ホストに、ALSA-2025:7178 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    * gstreamer: EXIF メタデータ解析の整数オーバーフロー (CVE-2024-4453)
      * gstreamer: AV1 ビデオ解析のスタックベースのバッファオーバーフロー (CVE-2024-0444)

Tenable は、前述の記述ブロックを AlmaLinux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 9 ホストに、RHSA-2025:7178 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    gstreamer1 パッケージには、メディアデータで操作を行うフィルターのグラフをベースとした、ストリーミングメディアフレームワークが含まれています。

    セキュリティ修正プログラム:

    * gstreamer: EXIF メタデータ解析の整数オーバーフロー (CVE-2024-4453)

    * gstreamer: AV1 ビデオ解析のスタックベースのバッファオーバーフロー (CVE-2024-0444)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    追加の変更

    このリリースの変更に関する詳細については、「参照」セクションからリンクされている Red Hat Enterprise Linux 9 リリースノートを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのUbuntu 20.04 LTS/22.04 LTS/24.04 LTS/24.10/25.04ホストには、USN-7558-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    GStreamer の AV1 コーデックプラグインが領域外に書き込む可能性があることが検出されました。攻撃者が、この問題を悪用して、プラグインを使用しているアプリケーションをクラッシュさせ、結果としてサービス拒否または任意のコードの実行を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 22.04 LTS のみです。(CVE-2023-50186、CVE-2024-0444)

    GStreamer の H265 コーデックプラグインが領域外に書き込む可能性があることが検出されました。攻撃者が、この問題を悪用して、プラグインを使用しているアプリケーションをクラッシュさせ、結果としてサービス拒否または任意のコードの実行を引き起こす可能性があります。(CVE-2025-3887)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 39 ホストには、FEDORA-2024-73f181db2a のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    CVE-2024-0444 を修正している 1.26.19 に更新してください。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 / 12 ホストには、dsa-5608 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    -----PGP 署名メッセージを開始----- ハッシュ: SHA512

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-5608-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2024 年 1 月 27 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : gst-plugins-bad1.0 CVE ID : CVE-2024-0444

    GStreamer メディアフレームワークの AV1 ビデオコーデックパーサーで、タイルリスト解析中にヒープベースバッファオーバーフローが発見されました。これにより、不正な形式のメディアファイルが開かれると、サービス拒否が発生したり、任意のコードが実行されたりする可能性があります。

    旧安定版 (oldstable) ディストリビューション (bullseye) では、この問題はバージョン 1.18.4-3+deb11u4 で修正されています。

    安定版 (stable) ディストリビューション (bookworm) では、この問題はバージョン 1.22.0-4+deb12u5 で修正されています。

    gst-plugins-bad1.0 パッケージをアップグレードすることを推奨します。

    gst-plugins-bad1.0 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/gst-plugins-bad1.0

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org
    -----PGP 署名を開始-----

    iQKTBAEBCgB9FiEERkRAmAjBceBVMd3uBUy48xNDz0QFAmW1XvtfFIAAAAAALgAo aXNzdWVyLWZwckBub3RhdGlvbnMub3BlbnBncC5maWZ0aGhvcnNlbWFuLm5ldDQ2 NDQ0MDk4MDhDMTcxRTA1NTMxRERFRTA1NENCOEYzMTM0M0NGNDQACgkQBUy48xND z0T6lQ//U5/FcuUV+SLF3IYzbSGP3nxOl3njQNMQz12woGd8SJdFpsEgeyOFUqwE 1u6xUjNbryI3N/U3zGxEH3P5gZdcxXbQX3dWqHr6IrBC1ciBwKZrtmcmy9ME2OZd 1r2QYGNxGYr2d/E9IV6lvT6L2MPeKTbEmAUjCGgY/nsPi9P2ECwufD7KEHh+6IXn 5WRPEFIWioOXWhiBn02x612VHJUvux5geBz6oLkl9sc2V9coHx19kywaC9W2JMtt SlyBaw3s7l2lv25rwTYCie1YmAgjsvnyZu3ijGMwHp/Sa7RYUkTC09S/fzuZlFOA Dz5HRslsjvlk0SomPg5A0J6eDYVQUqE3fq3A2zRtkDbeGbScAmc4eyR1d4LE0FqT POUxZoCR84fP542vOqLimvfdnkkaPSJwcQJRrwKx4r/hYFwOi4W1gwy90at7MQlj zwrfExMcXu9B3WmzmwAcTsX9nrgyiXNKH3Lib0gT+93TbqdhUNHuj9zC885JfOwx Th+jRaas4dyx4Tjaz83pJaUzEEIgAHByfr5N1UltvIUmO7AX9C9iLLyVVmgb2Qz0 ujdc1N8XSqcvB52psJe5o6oEx6UbAVTH48PGrCuYY2kfzKKHYUan6n8MILRw8Is4 FaUz4BAUd6Fjgo+jG/oS32grK7aujTbqRCiDaTDLcT/vywZldQA= =giTa
    -----PGP 署名を終了-----



Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 9 ホストに、ELSA-2025-7178アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    gstreamer1 [1.22.12-3]
    - 再構築
    - 解決：RHEL-38511、RHEL-41157

    [1.22.12-2]
    - 再構築
    - 解決：RHEL-38511、RHEL-41157

    [1.22.12-1]
    - 1.22.12 に更新

    [1.22.9-1]
    - 1.22.9

    [1.22.8-3]
    - https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild用の再構築

    [1.22.8-2]
    - https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild用の再構築

    [1.22.8-1]
    - 1.22.8

    [1.22.7-2]
    - cap 情報を適切に設定
    - 解決: rhbz#2238703

    [1.22.7-1]
    - 1.22.7

    [1.22.6-1]
    - 1.22.6

    [1.22.5-1]
    - 1.22.5 に更新

    [1.22.4-2]
    - https://fedoraproject.org/wiki/Fedora_39_Mass_Rebuild用の再構築

    [1.22.4-1]
    - 1.22.4

    [1.22.3-2]
    - gst-ptp-helper に対して setcap を実行し、適切なアクセス許可を付与。

    [1.22.3-1]
    - 1.22.3 に更新

    [1.22.2-1]
    - 1.22.2 に更新

    [1.22.1-1]
    - 1.22.1 に更新

    [1.22.0-1]
    - 1.22.0 に更新

    [1.21.90-1]
    - 1.21.90 に更新

    [1.20.5-2]
    - https://fedoraproject.org/wiki/Fedora_38_Mass_Rebuild用の再構築

    [1.20.5-1]
    - 1.20.5 に更新

    gstreamer1-plugins-bad-free [1.22.12-3]
    - 再構築
    - 解決：RHEL-38511、RHEL-41157

    [1.22.12-2]
    - 再構築
    - 解決：RHEL-38511、RHEL-41157

    [1.22.12-1]
    - 1.22.12

    [1.22.11-1]
    - 1.22.11

    [1.22.9-3]
    - openh264 プラグインを含む gstreamer1-plugin-openh264 サブパッケージを追加

    [1.22.9-2]
    - opencv-4.9.0 向けに再構築

    [1.22.9-1]
    - 1.22.9

    [1.22.8-5]
    - https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild用の再構築

    [1.22.8-4]
    - https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild用の再構築

    [1.22.8-3]
    - 「va: Mesa ドライバー向けの修正」をバックポート
    - 解決: rhbz#2256693

    [1.22.8-2]
    - dvbsuboverlay および siren プラグインを有効化
    - extras の avtp、dtsdec、flite プラグインを有効化

    [1.22.8-1]
    - 1.22.8

    [1.22.7-2]
    - gstva を extras からメインパッケージに移動

    [1.22.7-1]
    - 1.22.7

    [1.22.5-2]
    - libs サブパッケージを分離
    - opencv を別のサブパッケージとして有効化

    [1.22.5-1]
    - 1.22.5 に更新

    [1.22.3-2]
    - https://fedoraproject.org/wiki/Fedora_39_Mass_Rebuild用の再構築

    [1.22.3-1]
    - 1.22.3 に更新

    [1.22.2-4]
    - dnf バグを回避するため plugins-bad-freeworld の古い情報を削除 https://bugzilla.redhat.com/show_bug.cgi?id=1867376#c9

    [1.22.2-3]
    - musepack および voamrwbenc の -bad-free-extras への移行を修正

    [1.22.2-2]
    - extras で musepack および voamrwbenc を有効化

    [1.22.2-1]
    - 1.22.2 に更新

    [1.22.1-1]
    - 1.22.1 に更新

    [1.22.0-1]
    - 1.22.0 に更新

    [1.21.90-1]
    - 1.21.90 に更新

    [1.20.5-2]
    - https://fedoraproject.org/wiki/Fedora_38_Mass_Rebuild用の再構築

    [1.20.5-1]
    - 1.20.5 に更新
    - 不要な暗号化の依存関係を削除。

    [1.20.4-2]
    - vdpau 設定オプションを削除
    - libgstva プラグインは、無効になっている場合にファイルリストから除外されるようになりました
    - 解決: rhbz#2141093

    gstreamer1-plugins-ugly-free [1.22.12-3]
    - 再構築
    - 解決：RHEL-38511、RHEL-41157

    [1.22.12-2]
    - 再構築
    - 解決：RHEL-38511、RHEL-41157

    [1.22.12-1]
    - 1.22.12

    [1.22.11-1]
    - 1.22.11

    [1.22.9-1]
    - 1.22.9

    [1.22.8-4]
    - https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild用の再構築

    [1.22.8-3]
    - https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild用の再構築

    [1.22.8-2]
    - asfdemux、dvdlpcmdec、dvdsub、realmedia プラグインを有効化
    - RHEL ビルドで AMR プラグインを無効化
    - 解決: rhbz#2236889

    [1.22.8-1]
    - 1.22.8

    [1.22.7-1]
    - 1.22.7

    [1.22.5-1]
    - 1.22.5 に更新

    [1.22.3-2]
    - https://fedoraproject.org/wiki/Fedora_39_Mass_Rebuild用の再構築

    [1.22.3-1]
    - 1.22.3 に更新

    [1.22.2-1]
    - 1.22.2 に更新

    [1.22.1-2]
    - 新しい AMR プラグイン向けに再構築。

    gstreamer1-rtsp-server [1.22.12-3]
    - 再構築
    - 解決：RHEL-38511、RHEL-41157

    [1.22.12-2]
    - 再構築
    - 解決：RHEL-38511、RHEL-41157

    [1.22.12-1]
    - 1.22.12

    [1.22.11-1]
    - 1.22.11

    [1.22.9-1]
    - 1.22.9

    [1.22.8-3]
    - https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild用の再構築

    [1.22.8-2]
    - https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild用の再構築

    [1.22.8-1]
    - 1.22.8

    [1.22.7-1]
    - 1.22.7

    [1.22.5-1]
    - 1.22.5 に更新

    [1.22.3-2]
    - https://fedoraproject.org/wiki/Fedora_39_Mass_Rebuild用の再構築

    [1.22.3-1]
    - 1.22.3 に更新

    [1.22.2-1]
    - 1.22.2 に更新

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - GStreamer AV1 ビデオ解析のスタックベースのバッファオーバーフローのリモートコード実行の脆弱性。この脆弱性により、リモート攻撃者は影響を受ける GStreamer のインストールで任意のコードを実行する可能性があります。
    この脆弱性を悪用するにはこのライブラリとの相互作用が必要ですが、攻撃ベクトルは実装によって異なる場合があります。この特定の欠陥は、AV1でエンコードされたビデオファイル内のタイルリストデータの解析にあります。この問題は、ユーザー指定のデータを固定長のスタックベースバッファにコピーする前に、その長さが適切に検証されないことが原因です。攻撃者はこの脆弱性を利用して、現在のプロセスのコンテキストでコードを実行する可能性があります。ZDI-CAN-22873 でした。 （CVE-2024-0444）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている gstreamer1-plugins-base のバージョンは、1.18.4-5 より前です。したがって、ALAS2-2024-2454 のアドバイザリに記載されている脆弱性の影響を受けます。

  - GStreamer-SA-2024-0001: タイルリスト解析中の AV1 コーデックパーサーの潜在的なバッファオーバーフロー (CVE-2024-0444)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 40 ホストには、FEDORA-2024-da86a4f061 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    CVE-2024-0444 を修正している 1.26.19 に更新してください。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 39 ホストには、FEDORA-2024-919bc7e512 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    gstreamer-1.22.9 に更新してください。

    ----

    CVE-2024-0444 の修正をバックポートします。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
241286	AlmaLinux 9: gstreamer1、gstreamer1-plugins-bad-free、gstreamer1-plugins-ugly-free、および gstreamer1-rtsp-server (ALSA-2025:7178)	Nessus	Alma Linux Local Security Checks	2025/7/3	2025/7/3	high
235807	RHEL 9: gstreamer1、gstreamer1-plugins-bad-free、gstreamer1-plugins-ugly-free、および gstreamer1-rtsp-server (RHSA-2025:7178)	Nessus	Red Hat Local Security Checks	2025/5/13	2025/7/1	high
237868	Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS/24.10/25.04: GStreamer Bad Plugins の脆弱性 (USN-7558-1)	Nessus	Ubuntu Local Security Checks	2025/6/5	2025/6/5	high
201166	Fedora 39 : mingw-python-urllib3 (2024-73f181db2a)	Nessus	Fedora Local Security Checks	2024/6/30	2024/11/4	high
189723	Debian dsa-5608 : gir1.2-gst-plugins-bad-1.0 - セキュリティ更新	Nessus	Debian Local Security Checks	2024/1/27	2025/1/24	high
237047	Oracle Linux 9 : gstreamer1、gstreamer1-plugins-bad-free、gstreamer1-plugins-ugly-free、gstreamer1-rtsp-server (ELSA-2025-7178)	Nessus	Oracle Linux Local Security Checks	2025/5/22	2025/5/22	high
227579	Linux Distros のパッチ未適用の脆弱性: CVE-2024-0444	Nessus	Misc.	2025/3/5	2025/3/5	high
190693	Amazon Linux 2 : gstreamer1-plugins-bad-free (ALAS-2024-2454)	Nessus	Amazon Linux Local Security Checks	2024/2/19	2024/12/11	high
201165	Fedora 40 : mingw-python-urllib3 (2024-da86a4f061)	Nessus	Fedora Local Security Checks	2024/6/30	2024/11/4	high
201176	Fedora 39: mingw-gstreamer1/mingw-gstreamer1-plugins-bad-free/etc (2024-919bc7e512)	Nessus	Fedora Local Security Checks	2024/7/1	2024/11/4	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high