There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - A flaw was found in the GStreamer gst-plugins-bad package. When processing a malformed H.266/VVC video
    stream with a crafted aspect ratio indicator value, the H.266 parser performs an out-of-bounds read of up
    to 8 bytes from adjacent memory. This flaw allows an attacker to craft a malicious H.266 video file or
    stream that, when processed by a GStreamer-based application, could leak limited memory contents through
    video metadata, potentially exposing sensitive information from the application's address space.
    (CVE-2026-12891)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 GStreamer gst-plugins-bad 程序包中发现一个缺陷。当使用构建的宽高比指示器值处理畸形 H.266/VVC 视频流时，H.266 解析器会从相邻内存执行最多 8 个字节的越界读取。此缺陷允许攻击者构建恶意 H.266 视频文件或流，当基于 GStreamer 的应用程序处理该文件或流时，可通过视频元数据泄露有限的内存内容，从而可能从应用程序的地址空间暴露敏感信息。
    (CVE-2026-12891)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 13 主机上安装的多个程序包受到 dsa-6458 公告中提及的多个漏洞影响。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6458-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 8 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包：gst-plugins-bad1.0 CVE ID：CVE-2026-12891 CVE-2026-12892 CVE-2026-19387 CVE-2026-52720 CVE-2026-52722

    在 GStreamer 媒体框架的插件及其编码器和多路分解器中发现了多个安全漏洞，如果打开格式错误的媒体文件，可能会导致拒绝服务或任意代码执行。

    对于稳定发行版本 (trixie)，已在版本 1.26.2-3+deb13u3 中修复这些问题。

    我们建议您升级 gst-plugins-bad1.0 程序包。

    如需了解 gst-plugins-bad1.0 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/gst-plugins-bad1.0

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Debian 13 主機上安裝的多個套件受到 dsa-6458 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6458-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 8 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：gst-plugins-bad1.0 CVE ID：CVE-2026-12891 CVE-2026-12892 CVE-2026-19387 CVE-2026-52720 CVE-2026-52722

    GStreamer 媒體架構及其程式碼與解多工器的 plugin 中發現多個安全性弱點，如果開啟格式錯誤的媒體檔案，可能導致拒絕服務或任意程式碼執行。

    針對穩定的發行版本 (trixie)，已在 1.26.2-3+deb13u3 版中修復這些問題。

    建議您升級 gst-plugins-bad1.0 套件。

    如需有關 gst-plugins-bad1.0 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/gst-plugins-bad1.0

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 GStreamer gst-plugins-bad 套件中發現缺陷。處理具有特製長寬比指示值的格式錯誤的 H.266/VVC 視訊串流時，H.266 剖析器會從相鄰記憶體執行最多 8 個位元組的越界讀取。此缺陷允許攻擊者製作惡意 H.266 視訊檔案或串流，當由基於 GStreamer 的應用程式處理時，可能會透過視訊元資料洩漏有限的記憶體內容，從而可能暴露應用程式位址空間中的敏感資訊。
    (CVE-2026-12891)

請注意，Nessus 依賴供應商報告的套件存在。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21370-1 アドバイザリで言及されています。

    gstreamer-plugins-bad 用のこの更新は、次の問題を修正します

    - CVE-2026-12891:H.266 パーサーで配列インデックスとして使用されるチェックされていない aspect_ratio_idc 値は、グローバル領域外読み取り(bsc#1268872)を引き起こす可能性があります。
    - CVE-2026-12892:H.264 NAL 拡張スライスパーサーにおける 1 バイトのヒープ領域外読み取り(bsc#1268971)。
    - CVE-2026-14935:webrtcbin は、反転されたプレゼンスチェックのため、 a=fingerprint なしにリモート SDP を受け入れます(bsc#1271051)。
    - CVE-2026-52720:個々の寸法の代わりに、合計面積の無効なチェックにより、ヒープの領域外書き込みが引き起こされる可能性があります(bsc#1268406)。
    - CVE-2026-52721:IPv4 または TCP ヘッダー解析中の細工された PCAP レコードにより、領域外読み取りが引き起こされる可能性があります(bsc#1268408)。
    - CVE-2026-52722:カーソルの寸法が大きい細工された VMnc ストリームが符号付き整数(bsc#1268410)をオーバーフローする可能性があります。
    - CVE-2026-53701:スライスインデックスの境界チェックがない multi-slice-in-tile パーティションは、領域外書き込みを誘発する可能性があります(bsc#1268172)。
    - CVE-2026-53702:H.265 SEI メッセージ解析中の不適切なループバインドにより、スタックバッファオーバーフローが引き起こされる可能性があります(bsc#1268168)。
    - CVE-2026-59692:検証されていないピア証明書 DTLS ハンドシェイク中に印刷されたサブジェクト DN により、スタックバッファオーバーフローが引き起こされる可能性があります(bsc#1271168)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 13 ホストには、dsa-6458 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6458-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 8 月 21 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : gst-plugins-bad1.0 CVE ID : CVE-2026-12891 CVE-2026-12892 CVE-2026-19387 CVE-2026-52720 CVE-2026-52722

    GStreamer メディアフレームワーク、コーデック、デマルチプレクサーのプラグインでセキュリティの脆弱性が発見されました。不正な形式のメディアファイルが開かれた場合に、サービスが拒否されたり、任意のコードが実行されたりする可能性があります。

    安定版ディストリビューション (trixie) では、これらの問題はバージョン 1.26.2-3+deb13u3 で修正されています。

    gst-plugins-bad1.0 パッケージをアップグレードすることを推奨します。

    gst-plugins-bad1.0 の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/gst-plugins-bad1.0

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、4e82a0e6-6801-42c6-8fb6-91b6b275a9e1 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    GStreamer プロジェクトによる報告:
    GStreamer フレームワークで複数のセキュリティ問題が特定され、修正されました。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - GStreamer gst-plugins-bad パッケージに欠陥が見つかりました。細工されたアスペクト比のインジケーター値を持つ無効な形式の H.266/VVC ビデオストリームを処理する場合、H.266 パーサーは、隣接メモリから最大 8 バイトの領域外読み取りを実行します。この欠陥により、攻撃者が悪意のあるH.266ビデオファイルまたはストリームを作成し、GStreamerベースのアプリケーションで処理されたときに、ビデオメタデータを通じて限られたメモリコンテンツを漏えいし、アプリケーションのアドレス空間から秘密情報を漏えいさせる可能性があります。
    (CVE-2026-12891)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 16 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:21370-1 advisory.

    This update for gstreamer-plugins-bad fixes the following issues

    - CVE-2026-12891: unchecked aspect_ratio_idc value used as an array index in the H.266 parser could cause     a global out-       of-bounds read (bsc#1268872).
    - CVE-2026-12892: 1-byte heap out-of-bounds read in H.264 NAL extension slice parser (bsc#1268971).
    - CVE-2026-14935: webrtcbin accepts remote SDP without a=fingerprint due to inverted presence check     (bsc#1271051).
    - CVE-2026-52720: invalid check of total area instead of individual dimensions could trigger a heap out-     of-bounds write       (bsc#1268406).
    - CVE-2026-52721: crafted PCAP records during IPv4 or TCP header parsing could cause an out-of-bounds read       (bsc#1268408).
    - CVE-2026-52722: crafted VMnc stream with large cursor dimensions can overflow signed integer     (bsc#1268410).
    - CVE-2026-53701: multi-slice-in-tile partitions without slice index bounds checks could trigger an out-     of-bounds write       (bsc#1268172).
    - CVE-2026-53702: incorrect loop bound during H.265 SEI message parsing could result in a stack buffer     overflow       (bsc#1268168).
    - CVE-2026-59692: unvalidated peer certificate Subject DN printed during a DTLS handshake could cause a     stack buffer       overflow (bsc#1271168).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 13 host has packages installed that are affected by multiple vulnerabilities as referenced in the dsa-6458 advisory.

    - -------------------------------------------------------------------------     Debian Security Advisory DSA-6458-1                   security@debian.org     https://www.debian.org/security/                       Moritz Muehlenhoff     August 21, 2026                       https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package        : gst-plugins-bad1.0     CVE ID         : CVE-2026-12891 CVE-2026-12892 CVE-2026-19387                      CVE-2026-52720 CVE-2026-52722

    Multiple security vulnerabilities were discovered in plugins for     the GStreamer media framework and its codecs and demuxers, which     may result in denial of service or potentially the execution of     arbitrary code if a malformed media file is opened.

    For the stable distribution (trixie), these problems have been fixed in     version 1.26.2-3+deb13u3.

    We recommend that you upgrade your gst-plugins-bad1.0 packages.

    For the detailed security status of gst-plugins-bad1.0 please refer to     its security tracker page at:
    https://security-tracker.debian.org/tracker/gst-plugins-bad1.0

    Further information about Debian Security Advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://www.debian.org/security/

    Mailing list: debian-security-announce@lists.debian.org

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of FreeBSD installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the 4e82a0e6-6801-42c6-8fb6-91b6b275a9e1 advisory.

    The GStreamer project reports:
    Multiple security issues were identified and fixed in the GStreamer framework.

Tenable has extracted the preceding description block directly from the FreeBSD security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A flaw was found in the GStreamer gst-plugins-bad package. When processing a malformed H.266/VVC video     stream with a crafted aspect ratio indicator value, the H.266 parser performs an out-of-bounds read of up     to 8 bytes from adjacent memory. This flaw allows an attacker to craft a malicious H.266 video file or     stream that, when processed by a GStreamer-based application, could leak limited memory contents through     video metadata, potentially exposing sensitive information from the application's address space.
    (CVE-2026-12891)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
465597	Echo: gst-plugins-bad1.0: security update to 1.26.2-3+deb13u3	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/2	medium
465597	Echo: gst-plugins-bad1.0: security update to 1.26.2-3+deb13u3	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/2	medium
323646	Linux Distros 未修补的漏洞：CVE-2026-12891	Nessus	Misc.	2026/6/29	2026/10/15	medium
338785	Debian dsa-6458：gir1.2-gst-plugins-bad-1.0 - 安全更新	Nessus	Debian Local Security Checks	2026/8/21	2026/8/28	high
338785	Debian dsa-6458：gir1.2-gst-plugins-bad-1.0 - 安全性更新	Nessus	Debian Local Security Checks	2026/8/21	2026/8/28	high
323646	Linux Distros 未修補弱點：CVE-2026-12891	Nessus	Misc.	2026/6/29	2026/10/15	medium
328916	openSUSE 16:gstreamer-plugins-bad / gstreamer-plugins-bad-chromaprint / etc(openSUSE-SU-2026:21370-1)	Nessus	SuSE Local Security Checks	2026/7/22	2026/7/31	high
338785	Debian dsa-6458 : gir1.2-gst-plugins-bad-1.0 - セキュリティ更新	Nessus	Debian Local Security Checks	2026/8/21	2026/8/28	high
323684	FreeBSD : gstreamer1 -- 複数の脆弱性 (4e82a0e6-6801-42c6-8fb6-91b6b275a9e1)	Nessus	FreeBSD Local Security Checks	2026/6/29	2026/7/31	high
323646	Linux Distros のパッチ未適用の脆弱性: CVE-2026-12891	Nessus	Misc.	2026/6/29	2026/10/15	medium
328916	openSUSE 16: gstreamer-plugins-bad / gstreamer-plugins-bad-chromaprint / etc (openSUSE-SU-2026:21370-1)	Nessus	SuSE Local Security Checks	2026/7/22	2026/7/31	high
338785	Debian dsa-6458 : gir1.2-gst-plugins-bad-1.0 - security update	Nessus	Debian Local Security Checks	2026/8/21	2026/8/28	high
323684	FreeBSD : gstreamer1 -- multiple vulnerabilities (4e82a0e6-6801-42c6-8fb6-91b6b275a9e1)	Nessus	FreeBSD Local Security Checks	2026/6/29	2026/7/31	high
323646	Linux Distros Unpatched Vulnerability : CVE-2026-12891	Nessus	Misc.	2026/6/29	2026/10/15	medium

偵測

搜尋 Plugin

medium

medium

medium

high

high

medium

high

high

high

medium

high

high

high

medium