GStreamer: переполнение heap-буфера в adpcmdec (CVE-2026-19387)
В GStreamer обнаружена уязвимость CVE-2026-19387 класса heap out-of-bounds write в элементе adpcmdec из набора gst-plugins-bad при декодировании аудио IMA/DVI ADPCM. Специально сформированный WAV-файл может вызвать запись за границами выделенного буфера, что приводит к падению приложения, отказу в обслуживании, повреждению памяти и потенциально — к выполнению произвольного кода. Уязвимость затрагивает RHEL 7–10 и ряд расширенных каналов поддержки; CVSS 7.6 (HIGH).
Подробности
Уязвимость CVE-2026-19387 класса heap out-of-bounds write (запись за границами буфера в куче) обнаружена в элементе adpcmdec, входящем в состав GStreamer gst-plugins-bad. При декодировании аудио IMA/DVI ADPCM выполняется недостаточная проверка количества сэмплов на блок для многоканальных потоков. В результате специально сформированный WAV-файл может инициировать записи за пределами выделенного выходного буфера. Последствия эксплуатации включают аварийное завершение приложения (краш), отказ в обслуживании, повреждение памяти и потенциально — выполнение произвольного кода, если обрабатывается недоверенный медиаконтент. Уязвимость имеет оценку CVSS 7.6 (HIGH). Затронуты следующие продукты: Red Hat Enterprise Linux 10 и 10.0 Extended Update Support; Red Hat Enterprise Linux 8, включая 8.4 Advanced Mission Critical Update Support, 8.4 Extended Update Support Long-Life Add-On, 8.6 Advanced Mission Critical Update Support, 8.6 Extended Update Support Long-Life Add-On, 8.8 Telecommunications Update Service, 8.8 Update Services for SAP Solutions; Red Hat Enterprise Linux 9, включая 9.2 Update Services for SAP Solutions, 9.4 Update Services for SAP Solutions, 9.6 Extended Update Support; Red Hat Enterprise Linux 7.Что делать
Рекомендуется как можно скорее обновить затронутые компоненты GStreamer (в частности, gstreamer1-plugins-bad-free) до версий, содержащих исправление, через штатные каналы обновлений дистрибутива. Приоритет — высокий. Если немедленное обновление невозможно, следует применять компенсирующие меры: - ограничить обработку недоверенных медиафайлов через GStreamer, особенно WAV с ADPCM-аудио; - изолировать процессы обработки медиа (контейнеры, sandbox, отдельные сервисные учётные записи с минимальными правами); - проверять входящие файлы на доверенных шлюзах до передачи в декодер; - отслеживать аномальные падения медиасервисов как возможный признак эксплуатации. Проверьте, используются ли на ваших системах приложения и сервисы на базе GStreamer, и включите соответствующие пакеты в план срочного обновления.Итог
CVE-2026-19387 — это высокорисковая уязвимость переполнения буфера в декодере ADPCM из состава GStreamer gst-plugins-bad, эксплуатация которой возможна через специально подготовленный WAV-файл. Учитывая широкое распространение GStreamer в дистрибутивах Red Hat Enterprise Linux 7–10 и медиаобрабатывающих сервисах, обновление следует провести без отлагательств. До установки патча снизить риск помогут изоляция обработки недоверенного контента и ограничение доступа к медиаконвейерам.Источник: CVE Project (cvelistV5)