遠端主機受到 GLSA-201705-10 中所述的弱點影響 (GStreamer 外掛程式：使用者協助的任意程式碼執行) 在多個 GStreamer 外掛式中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：遠端攻擊者可引誘使用者或使用 GStreamer 外掛程式的自動化系統處理特製的檔案，這可能進而導致任意程式碼執行，或造成拒絕服務。因應措施：目前尚無已知的因應措施。

遠端 Ubuntu 16.04 ESM 主機上安裝的多個套件受到 USN-6291-1 公告中提及的一個弱點影響。

  - 在 1.10.3 之前的 GStreamer 中，gst/gstdatetime.c 的 gst_date_time_new_from_iso8601_string 函式允許遠端攻擊者透過格式錯誤的日期時間字串造成拒絕服務 (超出邊界堆積讀取)。
    (CVE-2017-5838)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 7 主機中安裝的套件受到 ELSA-2017-2060 公告中提及的多個弱點影響。

  - 在 1.10.3 版之前的 GStreamer 中，gst-plugins-good 中 gst/audioparsers/gstaacparse.c 的 gst_aac_parse_sink_setcaps 函式允許遠端攻擊者透過特製的音訊檔案，造成拒絕服務 (無效的記憶體讀取和損毀)。(CVE-2016-10198)

  - 在 1.10.2 版之前的 GStreamer 中，flxdex 解碼器中 gst-plugins-good 的 gst_decode_chain_free_internal 函式允許遠端攻擊者透過無效檔案觸發不正確的 unref 呼叫，進而造成拒絕服務 (無效記憶體讀取和損毀)。(CVE-2016-9810)

  - 在 1.10.2 版之前的 GStreamer 中，gst-plugins-base 中的 windows_icon_typefind 函式會在 G_SLICE 設定為 always-malloc 的情況下，允許遠端攻擊者透過特製的 ico 檔案造成拒絕服務 (超出邊界讀取)。(CVE-2016-9811)

  - 在 1.10.3 版之前的 GStreamer 中，gst-plugins-good 中 gst/avi/gstavidemux.c 的 gst_avi_demux_parse_ncdt 函式允許遠端攻擊者透過涉及 ncdt 標籤的向量造成拒絕服務 (超出邊界堆積讀取)。(CVE-2017-5841)

  - 在 1.10.3 版之前的 GStreamer 中，gst-plugins-base 中 gst/subparse/samiparse.c 的 html_context_handle_element 函式允許遠端攻擊者透過特製的 SMI 檔案造成拒絕服務 (超出邊界寫入)，OneNote_Manager.smi 即為一例。(CVE-2017-5842)

  - 在 1.10.3 版之前的 GStreamer 中，(1) gst_mini_object_unref、(2) gst_tag_list_unref 和 (3) gst_mxf_demux_update_essence_tracks 函式有多個釋放後使用弱點，遠端攻擊者可透過涉及資料流標籤的向量造成拒絕服務 (當機)，02785736.mxf 即為一例。
    (CVE-2017-5843)

  - 在 GStreamer 中，gst-plugins-bad 中 gst/mpegdemux/gstmpegdemux.c 的 gst_ps_demux_parse_psm 函式允許遠端攻擊者透過涉及 PSM 剖析的向量，造成拒絕服務 (無效的記憶體讀取和損毀)。(CVE-2017-5848)

  - 在 1.10.3 之前的 GStreamer 中，gst-plugins-good 中 gst/isomp4/qtdemux.c 的 qtdemux_tag_add_str_full 函式允許遠端攻擊者透過特製的標籤值，造成拒絕服務 (超出邊界讀取和損毀)。(CVE-2016-10199)

  - gstreamer 中的 vmnc 解碼器未初始化轉譯畫布，遠端攻擊者可藉此取得敏感資訊，例如將未繪製的簡單單幀 vmnc 影片壓縮至配置的轉譯畫布。(CVE-2016-9446)

  - 在 1.10.3 版之前的 GStreamer 中，gst-plugins-base 中 gst-libs/gst/riff/riff-media.c 的 gst_riff_create_audio_caps 函式允許遠端攻擊者透過特製的視訊檔案，造成拒絕服務 (浮點例外狀況和當機) 。(CVE-2017-5837)

  - 在 1.10.3 之前的 GStreamer 中，gst/gstdatetime.c 的 gst_date_time_new_from_iso8601_string 函式允許遠端攻擊者透過格式錯誤的日期時間字串造成拒絕服務 (超出邊界堆積讀取)。
    (CVE-2017-5838)

  - 在 1.10.3 版之前的 GStreamer 中，gst-plugins-base 中 gst-libs/gst/riff/riff-media.c 的 gst_riff_create_audio_caps 函式未正確限制遞迴，這允許遠端攻擊者透過涉及巢狀 WAVEFORMATEX 的媒介造成拒絕服務 (堆疊溢出和當機) 。(CVE-2017-5839)

  - 在 1.10.3 版之前的 GStreamer 中，gst-plugins-good 中 gst/isomp4/qtdemux.c  的 qtdemux_parse_samples 函式允許遠端攻擊者透過涉及目前 stts 索引的媒介造成拒絕服務 (超出邊界堆積讀取)。(CVE-2017-5840)

  - 在 1.10.3 版之前的 GStreamer 中，gst-plugins-base 中 gst-libs/gst/riff/riff-media.c 的 gst_riff_create_audio_caps 函式允許遠端攻擊者透過特製的 ASF 檔案，造成拒絕服務 (浮點例外狀況和當機) 。(CVE-2017-5844)

  - 在 1.10.3 版之前的 GStreamer 中，gst-plugins-good 中 gst/avi/gstavidemux.c 的 gst_avi_demux_parse_ncdt 函式允許遠端攻擊者透過周圍標籤後的 ncdt 子標籤造成拒絕服務 (無效的記憶體讀取和當機)。(CVE-2017-5845)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 MiracleLinux 7 主機已安裝受到多個弱點影響的套件如 AXSA:2017-2179:01 公告中所提及。

    clutter-gst2 Clutter 是一種開放原始碼軟體程式庫可建立快速、視覺效果豐富的動畫圖形使用者介面。
    Clutter GStreamer 可讓 GStreamer 與 Clutter 搭配使用。
    gnome-video-effects 用於不同 GNOME 模組的 GStreamer 效果集合。
    gstreamer1 GStreamer 是一種資料流媒體架構其以在媒體資料上運作的篩選器圖形為基礎。使用此程式庫的應用程式可以執行任何操作從即時音效處理到播放視訊以及其他任何與媒體相關的操作。其外掛程式型架構表示只要安裝新的外掛程式即可新增新的資料類型或處理功能。
    gstreamer1-plugins-bad-free GStreamer 是以在媒體資料上運作之元素的圖形為基礎的資料流媒體架構。
    此套件包含未經充分測試或程式碼品質不夠好的外掛程式。
    gstreamer1-plugins-base GStreamer 是一種串流媒體架構其依據是在媒體資料上運作的篩選器圖形。使用此程式庫的應用程式可以執行任何操作從即時音效處理到播放視訊以及其他任何與媒體相關的操作。其外掛程式型架構表示只要安裝新的外掛程式即可新增新的資料類型或處理功能。
    此套件包含一組維護良好的基礎外掛程式。
    gstreamer1-plugins-good GStreamer 是一種資料流媒體架構其依據是在媒體資料上運作的篩選器圖形。使用此程式庫的應用程式可以執行任何操作從即時音效處理到播放視訊以及其他任何與媒體相關的操作。其外掛程式型架構表示只要安裝新的外掛程式即可新增新的資料類型或處理功能。
    GStreamer Good Plugins 是一組受到良好支援的優質外掛程式其擁有 LGPL 授權。
    gstreamer-plugins-bad-free GStreamer 是以在媒體資料上運作之元素的圖形為基礎的資料流媒體架構。
    此套件包含未經充分測試或程式碼品質不夠好的外掛程式。
    gstreamer-plugins-good GStreamer 是一種串流媒體架構其以在媒體資料上運作的篩選器圖形為基礎。使用此程式庫的應用程式可以執行任何操作從即時音效處理到播放視訊以及其他任何與媒體相關的操作。其外掛程式型架構表示只要安裝新的外掛程式即可新增新的資料類型或處理功能。
    GStreamer Good 外掛程式是一組受到良好支援的優質外掛程式其擁有 LGPL 授權。
    orc Orc 是一個程式庫和一組工具用於編譯和執行在資料陣列上運作的非常簡單的程式。該語言是可代表 SIMD 架構中許多可用功能的泛型組件語言，包括飽和加法和減法，以及許多算術運算。
    CVE-2016-1019 Adobe Flash Player 21.0.0.197 和更舊版本允許遠端攻擊者透過不明向量造成拒絕服務 (應用程式損毀) 或可能執行任意程式碼2016 年 4 月在環境中遭到惡意利用即為一例。
    CVE-2016-9446 gstreamer 中的 vmnc 解碼器未初始化轉譯畫布其允許遠端攻擊者取得敏感資訊縮圖未繪製至配置的轉譯畫布的簡單 1 框架 vmnc 影片即為一例。
    CVE-2016-9810 在 1.10.2 之前的 GStreamer 中gst-plugins-good 之 flxdex 解碼器的 gst_decode_chain_free_internal 函式允許遠端攻擊者透過無效檔案造成拒絕服務 (無效記憶體讀取和損毀)進而觸發不正確的 unref 呼叫。
    CVE-2016-9811 在 1.10.2之前的 GStreamer 中gst-plugins-base 的 windows_icon_typefind 函式當 G_SLICE 設定為 always-malloc 時允許遠端攻擊者透過特製的 ico 檔案造成拒絕服務 (超出邊界讀取)。
    CVE-2017-5837 在 1.10.3 之前的 GStreamer 中gst-plugins-base 中 gst-libs/gst/iff/riff-media.c 的 gst_riff_create_audio_caps 函式允許遠端攻擊者透過特製的視訊造成拒絕服務 (浮點例外狀況和當機)檔案。
    CVE-2017-58381.10.3 在之前的 GStreamer 中gst/gstdatetime.c 的 gst_date_time_new_from_iso8601_string 函式允許遠端攻擊者透過格式錯誤的日期時間字串造成拒絕服務 (超出邊界堆積讀取)。
    CVE-2017-5839 在 1.10.3 之前的 GStreamer 中gst-plugins-base 中 gst-libs/gst/riff/riff-media.c 的 gst_riff_create_audio_caps 函式未正確限制遞回進而允許遠端攻擊者造成拒絕服務 (堆疊溢位和透過涉及巢狀 WAVEFORMATEX 的向量。
    CVE-2017-5840 在 1.10.3 之前的 GStreamer 中gst-plugins-good 內 gst/isomp4/qtdemux.c 的 qtdemux_parse_samples 函式允許遠端攻擊者透過涉及目前 stts 索引的向量造成拒絕服務 (超出邊界堆積讀取)。
    CVE-2017-5841 在 1.10.3 之前的 GStreamer 中gst-plugins-good 內 gst/avi/gstavidemux.c 的 gst_avi_demux_parse_ncdt 函式允許遠端攻擊者透過涉及 ncdt 標籤的向量造成拒絕服務 (超出邊界堆積讀取)。
    CVE-2017-5842 在 1.10.3 之前的 GStreamer 中gst-plugins-base 的 gst/subparse/samiparse.c 的 html_context_handle_element 函式允許遠端攻擊者透過特製的 SMI 檔案造成拒絕服務 (超出邊界寫入)如下所示OneNote_Manager.smi。
     1.10.3CVE-2017-5843 在 之前的 GStreamer 中(1) gst_mini_object_unref、(2) gst_tag_list_unref 和 (3) gst_mxf_demux_update_essence_tracks 函式存有多個釋放後使用弱點允許遠端攻擊者透過涉及資料流標籤的向量造成拒絕服務 (當機) 02785736.mxf 即為一例。
    CVE-2017-5844 在 1.10.3 之前的 GStreamer 中gst-plugins-base 之 gst-libs/gst/riff/riff-media.c 的 gst_riff_create_audio_caps 函式允許遠端攻擊者透過特製的 ASF造成拒絕服務 (浮點例外狀況和當機)檔案。
    CVE-2017-5845 在 1.10.3 之前的 GStreamer 中gst-plugins-good 內 gst/avi/gstavidemux.c 的 gst_avi_demux_parse_ncdt 函式允許遠端攻擊者透過 ncdt 子標籤 (位於標記。
    CVE-2017-5848 在 GStreamer 的 gst-plugins-bad 中gst/mpegdemux/gstmpegdemux.c 內的 gst_ps_demux_parse_psm 函式允許遠端攻擊者透過涉及 PSM 剖析的向量造成拒絕服務 (無效的記憶體讀取和損毀)。

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 1.10.3 之前的 GStreamer 中，gst/gstdatetime.c 的 gst_date_time_new_from_iso8601_string 函式允許遠端攻擊者透過格式錯誤的日期時間字串造成拒絕服務 (超出邊界堆積讀取)。
    (CVE-2017-5838)

請注意，Nessus 依賴供應商報告的套件存在。

Hanno Boeck 發現在 GStreamer 媒體架構及其轉碼器和 demuxer 中有多個弱點，如果開啟格式錯誤的媒體檔案，可能導致拒絕服務或任意程式碼執行。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2017:2060 公告中提及的多個弱點影響。

    GStreamer 是以可在媒體資料上操作之篩選器的圖形為基礎的串流媒體架構。

    下列套件已升級至更新的上游版本：clutter-gst2 (2.0.18)、gnome-video-effects (0.4.3)、gstreamer1 (1.10.4)、gstreamer1-plugins-bad-free (1.10.4)、gstreamer1- plugins-base (1.10.4)、gstreamer1-plugins-good (1.10.4)、orc (0.4.26)。

    安全性修正：

    * 在 gstreamer1、gstreamer1-plugins-base、gstreamer1-plugins-good 和 gstreamer1-plugins-bad-free 套件中發現多個瑕疵。攻擊者可能利用這些瑕疵造成使用 GStreamer 架構的應用程式損毀。 (CVE-2016-9446、 CVE-2016-9810、 CVE-2016-9811、 [ CVE-2016-10198、 CVE-2016-10199、 CVE-2017-5837、 CVE-2017-5838、 CVE-2017-5839、 CVE-2017-5840、 CVE-2017-5841、 CVE-2017-5842、 CVE-2017-5843、 CVE-2017-5844、 CVE-2017-5845、 CVE-2017-5848)

    其他變更：

    如需有關此發行版本的詳細變更資訊，請參閱可從「參照」一節連結的 Red Hat Enterprise Linux 7.4 版本資訊。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

下列套件已升級至更新的上游版本：clutter-gst2 (2.0.18)、gnome-video-effects (0.4.3)、gstreamer1 (1.10.4)、gstreamer1-plugins-bad-free (1.10.4)、gstreamer1-plugins-base (1.10.4)、gstreamer1-plugins-good (1.10.4)、orc (0.4.26)。安全性修正：- 在 gstreamer1、gstreamer1-plugins-base、gstreamer1-plugins-good 及 gstreamer1-plugins-bad-free 套件中找到多個缺陷。攻擊者可能會利用這些缺陷導致使用 GStreamer 架構的應用程式損毀。(CVE-2016-9446、CVE-2016-9810、CVE-2016-9811、CVE-2016-10198、CVE-2016-10199、CVE-2017-5837、CVE-2017-5838、CVE-2017-5839、CVE-2017-5840、CVE-2017-5841、CVE-2017-5842、CVE-2017-5843、CVE-2017-5844、CVE-2017-5845、CVE-2017-5848)

現已提供適用於 Red Hat Enterprise Linux 7 的更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。GStreamer 是以可在媒體資料上操作之篩選器的圖形為基礎的串流媒體架構。下列套件已升級至更新的上游版本：clutter-gst2 (2.0.18)、gnome-video-effects (0.4.3)、gstreamer1 (1.10.4)、gstreamer1-plugins-bad-free (1.10.4)、gstreamer1-plugins-base (1.10.4)、gstreamer1-plugins-good (1.10.4)、orc (0.4.26)。安全性修正：* 在 gstreamer1、gstreamer1-plugins-base、gstreamer1-plugins-good 及 gstreamer1-plugins-bad-free 套件中找到多個缺陷。攻擊者可能會利用這些缺陷導致使用 GStreamer 架構的應用程式損毀。(CVE-2016-9446、CVE-2016-9810、CVE-2016-9811、CVE-2016-10198、CVE-2016-10199、CVE-2017-5837、CVE-2017-5838、CVE-2017-5839、CVE-2017-5840、CVE-2017-5841、CVE-2017-5842、CVE-2017-5843、CVE-2017-5844、CVE-2017-5845、CVE-2017-5848) 其他變更：如需有關此發行版本的詳細變更資訊，請參閱可從〈參照〉一節連結的 Red Hat Enterprise Linux 7.4 版本資訊。

ID	名稱	產品	系列	已發布	已更新	嚴重性
100263	GLSA-201705-10：GStreamer 外掛程式：使用者協助的任意程式碼執行	Nessus	Gentoo Local Security Checks	2017/5/18	2025/12/18	critical
179902	Ubuntu 16.04 ESM：GStreamer 弱點 (USN-6291-1)	Nessus	Ubuntu Local Security Checks	2023/8/16	2024/8/27	high
180851	Oracle Linux 7：GStreamer (ELSA-2017-2060)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/11/1	high
290002	MiracleLinux 7GStreamer 安全性、錯誤修正和增強功能更新 (AXSA:2017-2179:01)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/19	critical
254686	Linux Distros 未修補的弱點：CVE-2017-5838	Nessus	Misc.	2025/8/25	2025/8/25	high
99008	Debian DSA-3822-1：gstreamer1.0 - 安全性更新	Nessus	Debian Local Security Checks	2017/3/28	2025/12/29	high
102150	RHEL 7：GStreamer (RHSA-2017:2060)	Nessus	Red Hat Local Security Checks	2017/8/3	2025/4/15	high
102659	Scientific Linux 安全性更新：SL7.x x86_64 上的 GStreamer	Nessus	Scientific Linux Local Security Checks	2017/8/22	2025/11/26	high
102752	CentOS 7：clutter-gst2 / gnome-video-effects / gstreamer-plugins-bad-free / etcgstreamer1 / 等等 (CESA-2017:2060)	Nessus	CentOS Local Security Checks	2017/8/25	2025/11/25	high

偵測

搜尋 Plugin

critical

high

high

critical

high

high

high

high

high