Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 GStreamer 的 gst-plugins-good isomp4 插件中发现一个缺陷。处理包含 CEA-608 隐藏式字幕数据的特别构建的 MP4 或 MOV 文件时，32 位无符号算法中的整数溢出可绕过标题解析器中的边界检查。这会导致最多 244 字节的越界堆读取，然后会包含在下游标题输出中。攻击者可通过诱骗用户打开恶意媒体文件来利用此问题，从而可能导致相邻堆内存泄露或应用程序崩溃。（CVE-2026-88914）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS 主机上安装的多个程序包受到公告 USN-8863-1 中提及的多个漏洞影响。

    Yazan Balawneh 发现，GStreamer Good Plugins 未正确处理某些 FLAC 音频流。攻击者可能会利用此问题获取敏感信息。(CVE-2026-17072)

    Seonwook Kim 发现 GStreamer Good Plugins 未能正确解析某些 AVI 文件。攻击者可能会利用此问题造成拒绝服务或获取敏感信息。
    (CVE-2026-73433)

    Seonwook Kim 发现 GStreamer Good Plugins 未能正确解析某些 AVI 文件。攻击者可能会利用此问题发起拒绝服务攻击。(CVE-2026-73434)

    Seonwook Kim 发现 GStreamer Good Plugins 不正确地处理了某些字幕数据。攻击者可能利用此问题获取敏感信息。此问题仅影响 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS 和 Ubuntu 26.04 LTS。(CVE-2026-88914)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 12 主机上存在安装的程序包，该程序包受到 DLA-4837 公告中提及的多个漏洞的影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4837-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Andreans Henriksson 2026 年 10 月 15 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：gst-plugins-good1.0 版本：1.22.0-5+deb12u4 CVE ID： CVE-2025-47183 CVE-2026-1940 CVE-2026-3083 CVE-2026-3085 CVE-2026-17072 CVE-2026-18298 CVE-2026-18299 CVE-2026-39043 CVE-2026-39044 CVE-2026-53705 CVE-2026-73433 CVE-2026-73434 CVE-2026-88914

    GStreamer 多媒体框架插件集合 gst-plugins-good1.0 中发现多个漏洞。处理特别构建的媒体文件或 RTP 流可导致拒绝服务、信息泄露或任意代码执行。

    对于 Debian 12 bookworm，这些问题已在 1.22.0-5+deb12u4 版本中修复。

    我们建议您升级 gst-plugins-good1.0 程序包。

    如需了解 gst-plugins-good1.0 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/gst-plugins-good1.0

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-3353 公告中提及的多个漏洞影响。

    GStreamer rtpL16depay 基于堆的缓冲区溢出远程代码执行漏洞。此漏洞允许远程攻击者在受影响的 GStreamer 安装程序上执行任意代码。需要与此库交互才能利用此漏洞，但攻击向量可能会因实现方式而异。

    对 RTP 负载元素的处理中存在该特定缺陷。造成这一问题的原因是，在将用户提供的数据复制到基于堆的缓冲区之前，未正确验证这些数据的长度。攻击者可利用此漏洞在当前进程环境中执行代码。是 ZDI-CAN-31143。（CVE-2026-111183）

    GStreamer rtpsbcdepay 释放后使用远程代码执行漏洞。此漏洞允许远程攻击者在受影响的 GStreamer 安装程序上执行任意代码。需要与此库交互才能利用此漏洞，但攻击向量可能会因实现方式而异。

    对 RTP 负载元素的处理中存在该特定缺陷。该问题是由于在对某个对象执行操作之前未对其存在性进行验证所致。攻击者可利用此漏洞在当前进程环境中执行代码。是 ZDI-CAN-29787。
    (CVE-2026-18299)

    之前在 GStreamer gst-plugins-good 1.28.2中发现了一个问题。解析 MP4 文件时，isomp4 插件的 qtdemux_parse_uuid 函数可能超过堆分配的缓冲区末尾进行读取，从而允许攻击者泄露堆内存内容。（CVE-2026-46471）

    在 GStreamer 的 gst-plugins-good isomp4 插件中发现一个缺陷。处理包含 CEA-608 隐藏式字幕数据的特别构建的 MP4 或 MOV 文件时，32 位无符号算法中的整数溢出可绕过标题解析器中的边界检查。这会导致最多 244 字节的越界堆读取，然后会包含在下游标题输出中。攻击者可通过诱骗用户打开恶意媒体文件来利用此问题，从而可能导致相邻堆内存泄露或应用程序崩溃。（CVE-2026-88914）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
344704	Linux Distros 未修补的漏洞：CVE-2026-88914	Nessus	Misc.	2026/9/11	2026/11/6	medium
362685	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS：GStreamer Good Plugins 漏洞 (USN-8863-1)	Nessus	Ubuntu Local Security Checks	2026/10/2	2026/11/6	medium
366229	Debian DLA-4837：gstreamer1.0-gtk3 - 安全更新	Nessus	Debian Local Security Checks	2026/10/15	2026/11/6	high
374351	Amazon Linux 2023：gstreamer1-plugins-good、gstreamer1-plugins-good-gtk (ALAS2023-2026-3353)	Nessus	Amazon Linux Local Security Checks	2026/10/30	2026/11/6	critical

检测

插件搜索

medium

medium

high

critical