CVE-2026-19389: целочисленные переполнения в ASF-демультиплексоре GStreamer ведут к чтению за границами буфера
В GStreamer обнаружены множественные уязвимости целочисленного переполнения и потери значимости в демультиплексоре ASF (asfdemux) из состава gst-plugins-ugly. При обработке специально созданных файлов ASF, WMV или WMA проверки границ обходятся, что приводит к чтению за пределами кучи — вплоть до отказа в обслуживании или ограниченной утечки информации. Уязвимость затрагивает Red Hat Enterprise Linux 7, 8, 9 и 10, оценка CVSS — 7.1 (HIGH).
Подробности
Уязвимость возникает при разборе заголовочных объектов (header objects) в специально сформированных медиафайлах. Значения длины и размера, контролируемые атакующим, проходят недостаточную проверку. Это позволяет вызвать целочисленное переполнение или потерю значимости (underflow), из-за чего внутренние проверки границ буфера обходятся. Результатом становится чтение данных за пределами выделенной области памяти (out-of-bounds heap read). Согласно описанию, последствия эксплуатации включают аварийное завершение приложения, отказ в обслуживании (DoS), а также ограниченное раскрытие информации — при условии, что обрабатывается недоверенный медиаконтент. Сценарий атаки предполагает открытие пользователем или приложением вредоносного файла ASF, WMV или WMA. Затронуты следующие продукты: Red Hat Enterprise Linux 7, Red Hat Enterprise Linux 8, Red Hat Enterprise Linux 9 и Red Hat Enterprise Linux 10 (в части пакета gstreamer1-plugins-ugly-free). Поскольку GStreamer широко используется в мультимедийных приложениях, библиотеках и дистрибутивах, риск затрагивает не только указанные редакции, но и производные сборки.Что делать
Основная рекомендация — установить обновлённые версии пакетов GStreamer и gst-plugins-ugly, выпущенные производителем или мейнтейнером дистрибутива. Для систем Red Hat следует отслеживать соответствующие обновления безопасности (RHSA) в каналах поддержки и применять их в приоритетном порядке. Если немедленное обновление невозможно, в качестве временных мер рекомендуется: - ограничить обработку недоверенных медиафайлов ASF, WMV и WMA на критичных системах; - не открывать вложения и файлы из ненадёжных источников; - по возможности изолировать обработку медиаконтента в песочнице или контейнере с ограниченными правами; - включить доступные механизмы защиты памяти и мониторинга аварийных завершений мультимедийных процессов. Стоит учитывать, что отказ в обслуживании сам по себе может нарушить работу сервисов, обрабатывающих пользовательский контент, поэтому приоритет исправления следует оценивать с учётом конкретной инфраструктуры. Итог: CVE-2026-19389 — серьёзная уязвимость в ASF-демультиплексоре GStreamer, позволяющая обойти проверки границ и вызвать чтение за пределами кучи. Наиболее надёжная защита — своевременное обновление пакетов и осторожность при работе с недоверенным медиаконтентом.Источник: CVE Project (cvelistV5)