🟠 CVE-2026-18649: High Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-18649 betrifft das GStreamer gst-plugins-good Paket und wird mit dem CVSS-Score 7.5 als kritisch eingestuft. Die Schwachstelle ermöglicht es Angreifern, über manipulierte RTP-Fragmente einen Denial-of-Service-Angriff durchzuführen. Derzeit ist kein Patch verfügbar.

Betroffene Systeme

Die Vulnerabilität betrifft verschiedene Systeme, die GStreamer mit den Komponenten rtph264depay oder rtph265depay einsetzen. Dies umfasst Medien-Streaming-Anwendungen, VoIP-Systeme und Video-Konferenzlösungen, die RTP-basierte Kommunikation nutzen. Besonders kritisch sind Server-Umgebungen mit kontinuierlichem Medienstrom-Processing.

Technische Details

Die Schwachstelle liegt in der Reassemblierungsfunktion der RTP-Depayloader-Elemente für H.264 und H.265 Videocodecs. Beim Empfang fragmentierter RTP-Pakete wird ein Buffer zur Wiederherstellung der ursprünglichen Daten verwendet. Das kritische Fehlerverhalten: Der Buffer unterliegt keiner Größenbeschränkung.

Ein unauthentizierter Angreifer kann kontinuierlich RTP-Fragmente senden, ohne das End-of-Fragment-Marker zu setzen. Dies führt zu unkontrolliertem Buffer-Wachstum und schließlich zur Speichererschöpfung des betroffenen Prozesses. Das Ergebnis ist ein Denial-of-Service durch Prozessabsturz.

Angriffsvektor: Netzwerk-basiert, keine Authentifizierung erforderlich. Der Angreifer benötigt nur Netzwerkzugriff auf den verwundeten Service.

Empfohlene Massnahmen

• Implementierung von Netzwerk-Segmentierung zur Beschränkung von RTP-Traffic
• Rate-Limiting für RTP-Fragmente konfigurieren
• Regelmäßige Überwachung von Speicherverbrauch bei Medien-Services
• Zeitnahes Patching nach Patch-Verfügbarkeit durchführen
• Alternative Bibliotheken evaluieren bis Fix verfügbar ist

Bewertung

Mit dem CVSS 7.5 ist dies eine High-Severity-Vulnerabilität. Die fehlende Patchverfügbarkeit und die leichte Ausnutzbarkeit (Network, kein Auth) machen ein rasches Incident-Response-Management notwendig. Unternehmen sollten zeitnah mit Herstellern Patchzeitpläne abstimmen.

„`