远程主机上安装的 gstreamer1-plugins-bad-free 版本低于 1.18.4-5。因此，该软件受到 ALAS2-2026-3833 公告中提及的多个漏洞影响。

    在 GStreamer 的 gst-plugins-bad 程序包中发现一个缺陷。处理含有畸形 MVC 或 SVC 扩展切片 NAL 单位的特别构建的 H.264 视频文件时，解析期间可能发生 1 字节堆越界读取。如果解析器尝试检查片边界信息，但未首先验证 NAL 单元是否包含扩展标头之外的足够数据，便会发生这种情况。攻击者可通过诱骗用户打开恶意 H.264 视频文件来利用此问题，从而可能导致该应用程序崩溃或泄漏堆内存的单个字节。（CVE-2026-12892）

    在 GStreamer 的 rfbsrc 插件中发现一个堆缓冲区溢出漏洞。当客户端连接到宣传 16bpp 帧缓冲区并发送 Hextile 编码更新的恶意 RFB/VNC 服务器时，Hextile 背景填充路径会将 32 位像素值写入为 16 位像素分配的缓冲区。此类型不匹配会造成越界堆写入，进而可导致拒绝服务（进程崩溃）和可能的内存损坏。（CVE-2026-59691）

    在 GStreamer 的 DTLS 插件中发现一个堆栈缓冲区溢出漏洞。在 DTLS 握手期间，对等证书主题可分辨名打印到固定大小的 2048 字节堆栈缓冲区中，而不进行边界检查。未经身份验证的远程攻击者可发送带有超出缓冲区的超大主题 DN 的证书，从而造成堆栈缓冲区溢出和进程崩溃，从而导致拒绝服务。（CVE-2026-59692）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 13 主机上安装的多个程序包受到 dsa-6458 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6458-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 8 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：gst-plugins-bad1.0 CVE ID：CVE-2026-12891 CVE-2026-12892 CVE-2026-19387 CVE-2026-52720 CVE-2026-52722

    在 GStreamer 媒体框架的插件及其编码器和多路分解器中发现了多个安全漏洞，如果打开格式错误的媒体文件，可能会导致拒绝服务或任意代码执行。

    对于稳定发行版本 (trixie)，已在版本 1.26.2-3+deb13u3 中修复这些问题。

    我们建议您升级 gst-plugins-bad1.0 程序包。

    如需了解 gst-plugins-bad1.0 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/gst-plugins-bad1.0

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1994 公告中提及的多个漏洞影响。

    在 GStreamer 的 gst-plugins-bad 程序包中发现一个缺陷。处理含有畸形 MVC 或 SVC 扩展切片 NAL 单位的特别构建的 H.264 视频文件时，解析期间可能发生 1 字节堆越界读取。如果解析器尝试检查片边界信息，但未首先验证 NAL 单元是否包含扩展标头之外的足够数据，便会发生这种情况。攻击者可通过诱骗用户打开恶意 H.264 视频文件来利用此问题，从而可能导致该应用程序崩溃或泄漏堆内存的单个字节。（CVE-2026-12892）

    在 GStreamer 的 rfbsrc 插件中发现一个堆缓冲区溢出漏洞。当客户端连接到宣传 16bpp 帧缓冲区并发送 Hextile 编码更新的恶意 RFB/VNC 服务器时，Hextile 背景填充路径会将 32 位像素值写入为 16 位像素分配的缓冲区。此类型不匹配会造成越界堆写入，进而可导致拒绝服务（进程崩溃）和可能的内存损坏。（CVE-2026-59691）

    在 GStreamer 的 DTLS 插件中发现一个堆栈缓冲区溢出漏洞。在 DTLS 握手期间，对等证书主题可分辨名打印到固定大小的 2048 字节堆栈缓冲区中，而不进行边界检查。未经身份验证的远程攻击者可发送带有超出缓冲区的超大主题 DN 的证书，从而造成堆栈缓冲区溢出和进程崩溃，从而导致拒绝服务。（CVE-2026-59692）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 GStreamer 的 gst-plugins-bad 程序包中发现一个缺陷。处理含有畸形 MVC 或 SVC 扩展切片 NAL 单位的特别构建的 H.264 视频文件时，解析期间可能发生 1 字节堆越界读取。如果解析器尝试检查片边界信息，但未首先验证 NAL 单元是否包含扩展标头之外的足够数据，便会发生这种情况。攻击者可通过诱骗用户打开恶意 H.264 视频文件来利用此问题，从而可能导致该应用程序崩溃或泄漏堆内存的单个字节。（CVE-2026-12892）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 12 主机上存在安装的程序包，该程序包受到 DLA-4839 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4839-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreans Henriksson 2026 年 10 月 16 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：gst-plugins-bad1.0 版本：1.22.0-4+deb12u8 CVE ID： CVE-2026-12892 CVE-2026-14935 CVE-2026-19387 CVE-2026-52718 CVE-2026-52719 CVE-2026-52720 CVE-2026-53702 CVE-2026-59691 CVE-2026-59692

    GStreamer 多媒体框架插件集合 gst-plugins-bad1.0 中发现多个漏洞。处理特制的媒体文件或网络数据可导致拒绝服务、内存内容泄露或可能执行任意代码。

    对于 Debian 12 bookworm，这些问题已在 1.22.0-4+deb12u8 版本中修复。

    我们建议您升级 gst-plugins-bad1.0 程序包。

    如需了解 gst-plugins-bad1.0 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/gst-plugins-bad1.0

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
332044	Amazon Linux 2 ： gstreamer1-plugins-bad-free， --advisory ALAS2-2026-3833 （ALAS-2026-3833）	Nessus	Amazon Linux Local Security Checks	2026/8/4	2026/8/7	high
338785	Debian dsa-6458：gir1.2-gst-plugins-bad-1.0 - 安全更新	Nessus	Debian Local Security Checks	2026/8/21	2026/8/28	high
332026	Amazon Linux 2023：gstreamer1-plugin-openh264、gstreamer1-plugins-bad-free、 gstreamer1-plugins-bad-free-devel （ALAS2023-2026-1994）	Nessus	Amazon Linux Local Security Checks	2026/8/4	2026/8/7	high
323656	Linux Distros 未修补的漏洞：CVE-2026-12892	Nessus	Misc.	2026/6/29	2026/11/5	medium
366505	Debian DLA-4839：gir1.2-gst-plugins-bad-1.0 - 安全更新	Nessus	Debian Local Security Checks	2026/10/16	2026/10/16	high

检测

插件搜索

high

high

high

medium

high