gst-plugins-bad: Stapelbasierter Pufferüberlauf im H.266/VVC-Parser
Zusammenfassung
Der H.266/VVC-Parser in der Bibliothek gst-plugins-bad von GStreamer enthält einen stapelbasierten Pufferüberlauf (CWE-787). Ein Integer-Überlauf beim Parsen der Felder für Profile, Tier und Level kann durch eine manipulierte H.266/VVC-Mediendatei oder einen entsprechenden Stream ausgelöst werden. Ein Angreifer kann eine GStreamer-basierte Anwendung zum Absturz bringen und möglicherweise Code mit den Rechten der Anwendung ausführen, was jedoch nicht demonstriert wurde. Für einen Angriff muss ein Benutzer oder Dienst die vom Angreifer kontrollierte Datei oder den Stream öffnen oder einlesen.
Betroffen
- Red Hat Enterprise Linux 10: gstreamer1-plugins-bad-free in RHEL 10.2.z, 10.3.z und 10.4 (gemäss Red-Hat-CVE-Eintrag)
- Red Hat RHIVOS 2.1 und 2.1-core
- Fedora 43, einschliesslich des MinGW-Pakets
- RHEL 7, 8 und 9 sowie RHEL 10.0: gemäss Red Hat nicht betroffen (Versionen sind älter als der verwundbare Code)
- Fedora 44 und Rawhide: gemäss Red Hat nicht betroffen (verwundbarer Code nicht mehr vorhanden)
- Andere Distributionen und upstream GStreamer-Versionen: Unbekannt.
Behoben in
Unbekannt.
Umgehung
- Es ist keine vollständige Massnahme verfügbar.
- Die Verarbeitung von H.266/VVC-Medien in GStreamer-basierten Anwendungen und Medien-Pipelines deaktivieren, wo sie nicht benötigt wird.
- H.266/VVC-Dateien oder -Streams aus nicht vertrauenswürdigen Quellen weder öffnen noch transkodieren, bis ein korrigiertes Paket verfügbar ist.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Gemäss einem Aggregator nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- EPSS: 0,19 % (30. Oktober 2026).
Unsere Empfehlung
- Systeme und Anwendungen inventarisieren, auf denen gstreamer1-plugins-bad oder gst-plugins-bad installiert ist.
- Das Update des Herstellers für die eigene Distribution so bald wie möglich einspielen und im Red-Hat-Advisory die Version des korrigierten Pakets prüfen.
- Bis zur Korrektur H.266/VVC-Medien aus nicht vertrauenswürdigen Quellen meiden und das H.266-Plugin deaktivieren, wo es nicht benötigt wird.
- NVD und CISA KEV auf Analyse- oder Ausnutzungsänderungen erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE page CVE-2026-119777 access.redhat.com
- Red Hat Bugzilla 2564164 bugzilla.redhat.com
- Upstream GStreamer merge request 11241 gitlab.freedesktop.org
- Offseq threat radar entry (aggregator) radar.offseq.com
- Positive Technologies PT-2026-133729 (Vulners) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.