高 7.5

GStreamerのマニフェスト処理で、ローカルファイルを読み取られる脆弱性

CVE-2026-121629 SecPulse初出 11月9日 20:35

概要

GStreamerのHLS・DASH・MSS用のアダプティブストリーミング処理部で、マニフェスト内のfile://のURIが検証されず、ローカルファイルを読み取られるおそれがあります。CVSSは7.5(高)です。マニフェストのURLを攻撃者が操作できる環境や、メディア録画・プロキシ・ダウンローダーなどのサーバー側での利用では特に注意が必要です。修正版の情報は公表されていないため、最新の情報を確認してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の記録です。修正版は配布版ごとに違うので、リンク先で確かめてください。

Debian DEBIAN-CVE-2026-121629 gst-plugins-good1.0 修正版あり
Ubuntu UBUNTU-CVE-2026-121629 gst-plugins-good1.0 この記録に修正版の記載なし

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

A flaw was found in GStreamer's adaptive streaming demuxers (HLS, DASH, MSS). When processing a media playlist or manifest, URIs referenced in the manifest content are fetched without restricting which URI schemes are permitted. An attacker who controls a manifest URL, or who can inject content into an HTTP manifest response, can include file:// URIs pointing to arbitrary local files, causing the affected application to read and process those files. In automated or server-side deployments such as media recorders, proxies, and downloaders, this can lead to disclosure of sensitive local files. Existence of files can also be inferred through differing error responses even when content is not directly observable.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory