Amazon Linux 2023：gstreamer1-plugins-good、gstreamer1-plugins-good-gtk (ALAS2023-2026-3353)
critical Nessus 插件 ID 374351
语言：
简介
远程 Amazon Linux 2023 主机缺少安全更新。描述
因此，该软件受到 ALAS2023-2026-3353 公告中提及的多个漏洞影响。GStreamer rtpL16depay 基于堆的缓冲区溢出远程代码执行漏洞。此漏洞允许远程攻击者在受影响的 GStreamer 安装程序上执行任意代码。需要与此库交互才能利用此漏洞，但攻击向量可能会因实现方式而异。
对 RTP 负载元素的处理中存在该特定缺陷。造成这一问题的原因是，在将用户提供的数据复制到基于堆的缓冲区之前，未正确验证这些数据的长度。攻击者可利用此漏洞在当前进程环境中执行代码。是 ZDI-CAN-31143。（CVE-2026-111183）
GStreamer rtpsbcdepay 释放后使用远程代码执行漏洞。此漏洞允许远程攻击者在受影响的 GStreamer 安装程序上执行任意代码。需要与此库交互才能利用此漏洞，但攻击向量可能会因实现方式而异。
对 RTP 负载元素的处理中存在该特定缺陷。该问题是由于在对某个对象执行操作之前未对其存在性进行验证所致。攻击者可利用此漏洞在当前进程环境中执行代码。是 ZDI-CAN-29787。
(CVE-2026-18299)
之前在 GStreamer gst-plugins-good 1.28.2中发现了一个问题。解析 MP4 文件时，isomp4 插件的 qtdemux_parse_uuid 函数可能超过堆分配的缓冲区末尾进行读取，从而允许攻击者泄露堆内存内容。（CVE-2026-46471）
在 GStreamer 的 gst-plugins-good isomp4 插件中发现一个缺陷。处理包含 CEA-608 隐藏式字幕数据的特别构建的 MP4 或 MOV 文件时，32 位无符号算法中的整数溢出可绕过标题解析器中的边界检查。这会导致最多 244 字节的越界堆读取，然后会包含在下游标题输出中。攻击者可通过诱骗用户打开恶意媒体文件来利用此问题，从而可能导致相邻堆内存泄露或应用程序崩溃。（CVE-2026-88914）
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行“dnf update gstreamer1-plugins-good --releasever 2023.12.20261102”或“dnf update --advisory ALAS2023-2026-3353 --releasever 2023.12.20261102”以更新系统。另见
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3353.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-111183.html
https://explore.alas.aws.amazon.com/CVE-2026-18299.html
插件详情
严重性: Critical
ID: 374351
文件名: al2023_ALAS2023-2026-3353.nasl
版本: 1.2
类型: Local
代理: unix
发布时间: 2026/10/30
最近更新时间: 2026/11/2
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.9
百分位: 58.61
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-111183
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:gstreamer1-plugins-good-debuginfo, p-cpe:/a:amazon:linux:gstreamer1-plugins-good-debugsource, p-cpe:/a:amazon:linux:gstreamer1-plugins-good-gtk-debuginfo, p-cpe:/a:amazon:linux:gstreamer1-plugins-good-gtk, p-cpe:/a:amazon:linux:gstreamer1-plugins-good
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2026/10/30
漏洞发布日期: 2026/8/20
参考资料信息
CVE: CVE-2026-111183, CVE-2026-18299, CVE-2026-46471, CVE-2026-88914