gst-plugins-base: Heap-Pufferüberlauf durch ungeprüfte Videometadaten

Zusammenfassung

Die GStreamer-Basis-Plugins (gst-plugins-base, libgstvideo) enthalten einen Heap-Pufferüberlauf. Videopuffer mit GstVideoMeta, deren Plane-Strides und Offsets den allozierten Speicher überschreiten, werden vor der Verwendung nicht geprüft. Ein lokaler Angreifer, der die sendende Seite einer GStreamer-Inter-Process-Pipeline kontrolliert, etwa eine Pipeline mit dem unixfd-Plugin, kann den empfangenden Prozess zum Absturz bringen und kann möglicherweise Daten innerhalb des Prozesses lesen, schreiben oder Code ausführen. Der Angriff setzt eine bestimmte IPC-Konfiguration voraus, und eine Ausnutzung wurde nicht beobachtet.

Betroffen

• Red Hat Enterprise Linux 6, 7, 8, 9 und 10 (im CNA-Eintrag als betroffen aufgeführt; Paketversionen nicht bestätigt)
• Azure Linux: gstreamer1-plugins-base 1.20.0-3 (gemäss OSV aufgeführt)
• Prozessübergreifender Angriffspfad: GStreamer 1.24 oder neuer mit dem unixfd-Plugin
• Verwendung im selben Prozess: frühere GStreamer-Versionen können ebenfalls betroffen sein

Behoben in

Unbekannt.

• Der Hersteller erwartet eine Korrektur in GStreamer 1.28.8 (Zieltermin ungefähr Oktober 2026).
• Zum Zeitpunkt der Erstellung wurde kein Herstellerhinweis (Errata) zu CVE-2026-86476 gefunden.

Umgehung

• GStreamer ohne das unixfd-Plugin bauen oder bereitstellen (z. B. Meson-Option -Dgst-plugins-bad:unixfd=disabled oder Entfernen von libgstunixfd.so), sofern die prozessübergreifende Videofreigabe über unixfd nicht benötigt wird.
• Receiver-Pipelines nicht mit Unix-Socket-Endpunkten verbinden, die von nicht vertrauenswürdigen lokalen Prozessen kontrolliert werden.
• Dies behebt die zugrunde liegende Validierungslücke bei Verwendung im selben Prozess nicht.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Kein öffentlicher Proof of Concept gefunden.
• EPSS 0.00209 (niedrig).

Unsere Empfehlung

• Systeme mit installiertem gstreamer1-plugins-base oder gst-plugins-base inventarisieren (z. B. mit rpm -q oder dpkg -l).
• Das unixfd-Plugin deaktivieren, wo es nicht benötigt wird, und den lokalen Zugriff auf Mehrbenutzersystemen einschränken.
• Herstellerupdates sobald verfügbar einspielen und die Errata der Red-Hat- und Debian-Tracker prüfen.
• Mehrbenutzer-Linux-Systeme und Medien-Appliances, die Videopuffer zwischen Prozessen weitergeben, priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  0xSemizzz/CVE-2026-86476

Quellen der Recherche

• Red Hat CVE page CVE-2026-86476 access.redhat.com
• Red Hat Bugzilla 2529510 bugzilla.redhat.com
• Azure Linux advisory AZL-108306 (OSV) osv.dev
• Debian CVE mirror (Vulners) vulners.com
• VulDB entry 419785 vuldb.com
• Strix CVE listing www.strix.ai
• CVE threat intelligence mirror cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:26.