因此，该软件受到 ALAS2023-2026-3353 公告中提及的多个漏洞影响。

    GStreamer rtpL16depay 基于堆的缓冲区溢出远程代码执行漏洞。此漏洞允许远程攻击者在受影响的 GStreamer 安装程序上执行任意代码。需要与此库交互才能利用此漏洞，但攻击向量可能会因实现方式而异。

    对 RTP 负载元素的处理中存在该特定缺陷。造成这一问题的原因是，在将用户提供的数据复制到基于堆的缓冲区之前，未正确验证这些数据的长度。攻击者可利用此漏洞在当前进程环境中执行代码。是 ZDI-CAN-31143。（CVE-2026-111183）

    GStreamer rtpsbcdepay 释放后使用远程代码执行漏洞。此漏洞允许远程攻击者在受影响的 GStreamer 安装程序上执行任意代码。需要与此库交互才能利用此漏洞，但攻击向量可能会因实现方式而异。

    对 RTP 负载元素的处理中存在该特定缺陷。该问题是由于在对某个对象执行操作之前未对其存在性进行验证所致。攻击者可利用此漏洞在当前进程环境中执行代码。是 ZDI-CAN-29787。
    (CVE-2026-18299)

    之前在 GStreamer gst-plugins-good 1.28.2中发现了一个问题。解析 MP4 文件时，isomp4 插件的 qtdemux_parse_uuid 函数可能超过堆分配的缓冲区末尾进行读取，从而允许攻击者泄露堆内存内容。（CVE-2026-46471）

    在 GStreamer 的 gst-plugins-good isomp4 插件中发现一个缺陷。处理包含 CEA-608 隐藏式字幕数据的特别构建的 MP4 或 MOV 文件时，32 位无符号算法中的整数溢出可绕过标题解析器中的边界检查。这会导致最多 244 字节的越界堆读取，然后会包含在下游标题输出中。攻击者可通过诱骗用户打开恶意媒体文件来利用此问题，从而可能导致相邻堆内存泄露或应用程序崩溃。（CVE-2026-88914）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023：gstreamer1-plugins-good、gstreamer1-plugins-good-gtk (ALAS2023-2026-3353)

critical Nessus 插件 ID 374351

版本 1.1