CVE-2026-73433

GStreamer gst-plugins-good (avidemux) komponentində boşluq aşkar edilmişdir. AVI strd blokunda FUJIFILM metadata-sı analiz edilərkən, gst_avi_demux_parse_strd() funksiyası kifayət qədər məlumatın qaldığını yoxlamadan qalıq uzunluq sayğacını sabit ofsetlər (98 və 10 bayt) ilə azaldır. Dəqiq 106 və ya 107 baytlıq xüsusi hazırlanmış strd yükləri üçün sayğac aşağıya doğru daşaraq çox böyük işarəsiz dəyərə çevrilir ki, bu da növbəti null-terminatorlu sətir skanının ayrılmış heap buferindən xeyli kənara oxumasına səbəb olur. Tarix formatının normallaşdırılması həmçinin buferin sonundan kənara yazıla bilər. Təsdiqlənmiş təsirlərə heap-də sərhədlərdən kənar oxuma (out-of-bounds read), sərhədlərdən kənar yazma (out-of-bounds write), heap məlumatlarının ifşası (analiz edilmiş metadata-da qonşu məlumatların görünməsi) və tətbiqin çökməsi/xidmətdən imtina daxildir. avidemux elementi playbin, decodebin və gst-discoverer tərəfindən avtomatik qoşulduğu üçün, xüsusi hazırlanmış AVI faylının açılması və ya ön baxışının edilməsi problemin yaranması üçün kifayətdir. Problem gst-plugins-good 1.28.6 versiyasında düzəldilmişdir (GStreamer-SA-2026-0072).