Уязвимость повреждения памяти в GPAC (CVE-2026-91091): эксплойт опубликован
В популярной мультимедийной библиотеке GPAC, используемой для обработки и упаковки медиаконтента, выявлена уязвимость, связанная с повреждением памяти. Проблема получила идентификатор CVE-2026-91091 и оценку 5.3 по шкале CVSS, что соответствует среднему уровню критичности.
Подробности
Уязвимость затрагивает компонент Node Insertion (вставка узлов в граф сцены). Уязвимая функция — gf_node_list_insert_child, расположенная в файле scenegraph/base_scenegraph.c. Некорректная обработка данных при вставке дочернего узла приводит к повреждению памяти.
Проблема присутствует во всех сборках GPAC вплоть до коммита f1219cde. Атака может быть проведена удалённо: для этого достаточно, чтобы целевая система обработала специально сформированный медиафайл или иные входные данные, содержащие манипуляции с графом сцены. Это особенно опасно для серверных сценариев, где GPAC автоматически обрабатывает загружаемый пользователями контент.
Дополнительный риск связан с тем, что эксплойт для данной уязвимости уже опубликован в открытом доступе и может быть использован злоумышленниками. Публичная демонстрация методики эксплуатации существенно снижает порог входа для атакующих.
Сведения об уязвимости опубликованы в реестре CVE Project (cvelistV5). Оценка CVSS 5.3 отражает средний уровень: эксплуатация требует определённых условий, но при этом возможна удалённо и приводит к нарушению целостности памяти процесса.
Что делать
Разработчики GPAC устранили проблему в версии abi-16.23. Соответствующий патч имеет идентификатор 49dee5cad329cfed310c1682703df7daa47df31a. Рекомендации для пользователей и организаций:
- Обновите GPAC до версии
abi-16.23или до более актуального релиза, содержащего указанный патч. - Если обновление невозможно в краткосрочной перспективе, ограничьте обработку недоверенного медиаконтента и изолируйте процессы, работающие с GPAC, в песочнице или контейнере с минимальными привилегиями.
- Отслеживайте обращения к сервисам, использующим GPAC, и применяйте средства обнаружения аномальной активности процессов на предмет попыток эксплуатации.
- Проверьте цепочку поставок: убедитесь, что GPAC не входит в состав используемых сторонних приложений и сборок, требующих отдельного обновления.
Поскольку эксплойт доступен публично, задержка с обновлением повышает риск реальных атак. Приоритет рекомендуется поднять для систем, обрабатывающих загружаемый извне мультимедийный контент.
Уязвимость CVE-2026-91091 — типичный пример проблемы повреждения памяти в библиотеке обработки медиа, где удалённый ввод может привести к компрометации процесса. Исправление уже доступно, и единственный надёжный способ защиты — переход на версию abi-16.23 с применением патча 49dee5cad329cfed310c1682703df7daa47df31a.
Источник: CVE Project (cvelistV5)