GStreamer Editing Services: Beliebige Elementinstanziierung über Projektdatei
Zusammenfassung
Eine Schwachstelle im Projektdateilader von GStreamer Editing Services erlaubt es, dass eine präparierte Projektdatei eine frei formulierte Pipeline-Beschreibung enthält, die ohne Einschränkung bei Elementen oder Eigenschaften instanziiert wird. Ein entfernter Angreifer, der eine solche Datei einem Opfer zustellt, kann beliebige lokale Dateien lesen oder schreiben, Anfragen an vom Angreifer kontrollierte Server senden oder die Anwendung zum Absturz bringen. Das Öffnen der Datei in einem Medienplayer oder deren Thumbnail-Erstellung kann bereits ausreichen, um die Schwachstelle auszulösen, und unter bestimmten Bedingungen kann die Schreibfunktion zur Codeausführung führen.
Betroffen
- GStreamer gst-editing-services Versionen vor 1.28.8
- Distributionspakete können ältere Versionen enthalten; den Paketstatus des jeweiligen Herstellers prüfen
Behoben in
- gst-editing-services 1.28.8 (Herstellerfix; Patch ebenfalls im Merge Request verfügbar)
- Korrigierte Pakete in Distributionen: Unbekannt.
Umgehung
- Das GStreamer-Editing-Services-Plugin deinstallieren, falls es nicht benötigt wird.
- Den Rang des Projekt-Demuxers auf NONE setzen, damit er nicht automatisch ausgewählt wird.
- Keine unbekannten GES-Projektdateien öffnen, bis das Update installiert ist.
Ausnutzung
- CVE- und CNA-Daten: Die CISA-SSVC-Bewertung zeigt Exploitation: none und Automatable: no.
- Ein Drittanbieter-Tracker meldet, dass die Schwachstelle nicht als ausgenutzt bekannt ist.
- Öffentlicher Proof of Concept: Unbekannt.
- CISA-KEV-Status: Unbekannt.
Unsere Empfehlung
- gst-editing-services auf 1.28.8 oder neuer aktualisieren bzw. das Distributionspaket mit dem Fix installieren.
- Linux-Arbeitsplätze mit GStreamer-basierten Medienplayern, Editoren oder Thumbnail-Diensten identifizieren und prüfen, ob GES installiert ist.
- Bis zur Korrektur das Plugin dort entfernen, wo es nicht benötigt wird, oder unbekannte Projektdateien in diesen Anwendungen blockieren.
- Arbeitsplätze priorisieren, die Dateien von externen Parteien verarbeiten, etwa E-Mail-Anhänge, Downloads und Freigaben.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GStreamer Security Advisory 2026-0090 gstreamer.freedesktop.org
- GStreamer merge request 12647 (fix) gitlab.freedesktop.org
- GStreamer Security Center gstreamer.freedesktop.org
- SUSE CVE entry vulners.com
- OpenCVE entry app.opencve.io
- VulDB entry (disputed CVSS and CWE) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.