Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-122

CVE-2026-111183

GStreamer rtpL16depay bileşeninde heap tabanlı arabellek taşması (uzaktan kod çalıştırma)

GStreamer

Kritik 9,8 CVSS 3.0
Yayımlandı
Güncellendi
23 Eki 2026
Açık yaşı
7 gün
Kaydı açan
zdi

Yönetici özeti

Bu açık, çoklu ortam işleyen yazılımları kullanan sunucu ve uygulamalarda uzaktan tam kontrol ele geçirilmesine yol açabilecek kritik bir risktir. Kötü niyetli bir ağ akışı yeterli olabileceğinden, etkilenen sistemler hızla güncellenmeli ya da yamalanmalıdır.

ÖzetTürkçe

GStreamer çoklu ortam çerçevesinin rtpL16depay bileşeninde, RTP yük öğelerinin işlenmesi sırasında kullanıcı kaynaklı verinin uzunluğu doğrulanmadan heap üzerindeki bir arabelleğe kopyalanmaktadır. Bu nedenle heap tabanlı arabellek taşması oluşmaktadır. Sorun, veri akışı işleyen GStreamer kullanan tüm kurulumları etkileyebilir. Etkilenen sürüm, veri kaynağına bağlı olarak değişen ortamlarda bir etkileşim gerektirir.

Saldırgan ne yapabilir?

Saldırgan, hazırlanmış bir RTP paketi aracılığıyla hedef süreç bağlamında rastgele kod çalıştırabilir ve sistem üzerinde tam kontrol elde edebilir.

Kaynaktaki açıklama (İngilizce)

GStreamer rtpL16depay Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of GStreamer. Interaction with this library is required to exploit this vulnerability but attack vectors may vary depending on the implementation.

The specific flaw exists within the processing of RTP payload elements. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-31143.

Ne yapmalı?

  1. Etkilenen GStreamer kurulumunu, zafiyeti gideren düzeltilmiş bir sürüme veya satıcının belirttiği çözüme güncelleyin. Etkilenen commit tanımlı sürümü kullanıyorsanız, GStreamer'ın resmi depolarındaki düzeltme sürümünü uygulayın. Genel öneri
  2. Güncelleme yapılamıyorsa, rtpL16depay bileşeninin kullanıldığı RTP akışlarını geçici olarak devre dışı bırakın veya güvenilmeyen ağ kaynaklarından gelen akışları engelleyin. Genel öneri
  3. Uygulamaları ve bağımlı servisleri yeniden başlatarak güncellemenin etkin olduğunu doğrulayın. Genel öneri

Ek önlemler

  • GStreamer'ı kullanan uygulamaların çalıştırıldığı süreçleri en az yetkiyle çalıştırın ve yalnızca gerekli ağ erişimine izin verin. Genel öneri
  • Beklenmeyen süreç çökmeleri ve olağandışı RTP trafiği için günlük kayıtlarını ve ağ izleme araçlarını inceleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
GStreamer 5903987091bb25e4f549331032cd2e3494cf8dae –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.