GStreamerのH.266解析処理に脆弱性、細工したファイルで任意のコードを実行されるおそれ
Summary
GStreamerのgst-plugins-bad（H.266/VVCパーサー）に、細工されたH.266メディアファイルやストリームを処理するとスタックバッファオーバーフローが起きる脆弱性が見つかりました。アプリケーションがクラッシュするほか、影響を受けたアプリケーションの権限でコードを実行される可能性があります。CVSSは7.8です。修正版の情報は公表されていないため、最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
GStreamerのgst-plugins-bad（H.266/VVCパーサー）に、細工されたH.266メディアファイルやストリームを処理するとスタックバッファオーバーフローが起きる脆弱性が見つかりました。アプリケーションがクラッシュするほか、影響を受けたアプリケーションの権限でコードを実行される可能性があります。CVSSは7.8です。修正版の情報は公表されていないため、最新の情報を確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| Red HatRed Hat Enterprise Linux 10 | — | Not listed |
| Red HatRed Hat Enterprise Linux 7 | — | Not listed |
| Red HatRed Hat Enterprise Linux 8 | — | Not listed |
| Red HatRed Hat Enterprise Linux 9 | — | Not listed |
| GStreamer projectgst-plugins-bad |
≥ 1.25.1, < 1.28.2→ 1.28.2 |
1.28.2 |
| Red HatRed Hat Enterprise Linux 10.2 Extended Update Support | — | Not listed |
Fix status by distribution
Records published by each distribution for this CVE. Fixed versions differ by release; check each link.
- Debian DEBIAN-CVE-2026-119777 gst-plugins-bad1.0 Fix available
- Ubuntu UBUNTU-CVE-2026-119777 gst-plugins-bad1.0 No fixed version in this record
Original description The description as published by the source.
A flaw was found in GStreamer's gst-plugins-bad H.266/VVC parser. When processing a malformed H.266 media file or stream, an integer overflow while parsing profile, tier, and level fields can lead to a stack-based buffer overflow. An attacker could cause an application to crash and may be able to execute code in the context of the affected application.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web access.redhat.com
- web bugzilla.redhat.com
- web gitlab.freedesktop.org
- web nvd.nist.gov
- web github.com
- web access.redhat.com
- web access.redhat.com