GStreamer 1.28.9 закрывает уязвимости видеопотоков и исправляет сбои воспроизведения

6 ноября 2026 года вышел GStreamer 1.28.9 — исправляющий релиз мультимедийного фреймворка, который используют плееры, программы трансляций и видеосервисы. Разработчики устранили уязвимости при обработке HLS/DASH-плейлистов и RTP-видео, а также ошибки, из-за которых некоторые MP3-файлы и сетевые потоки воспроизводились со сбоями.

В GStreamer устранили чтение локальных файлов через HLS и DASH

Одна из наиболее серьёзных проблем релиза связана с HLS и DASH — технологиями, которые разбивают видео на небольшие фрагменты для передачи через интернет. Приложение получает плейлист, находит в нём адреса видеофрагментов и загружает их по мере воспроизведения. До исправления обработчик GStreamer мог переходить по ссылкам из удалённого плейлиста к файлам на локальном диске.

Уязвимость CVE-2026-121629 возникала из-за отсутствия ограничений на схемы адресов в ссылках на вложенные плейлисты, сегменты и ключи шифрования. Злоумышленник, контролирующий плейлист, мог заставить приложение читать локальные файлы. Для медиасервера, загрузчика или прокси, который обрабатывает такие потоки автоматически, это создавало риск раскрытия данных через дальнейшую обработку содержимого. В GStreamer 1.28.9 допустимые схемы адресов в механизме загрузки ограничили.

Риск утечки возникает, когда прочитанные локальные данные попадают в дальнейшую обработку — например, в сохраняемый файл или ответ медиасервера. В бюллетене GStreamer-SA-2026-0097 отдельно описаны возможные пути утечки в серверных и автоматизированных конвейерах.

Ошибки в RTP и видеокодеках могли приводить к падению приложений

Второе направление исправлений — обработка RTP, протокола, который передаёт аудио и видео в реальном времени, в том числе в RTSP-трансляциях. Уязвимость GStreamer-SA-2026-0100 затрагивала сборку несжатых видеокадров: отправитель мог указать некорректные размеры изображения и позиции фрагментов, вызвав запись за границы выделенной памяти. По оценке разработчиков, это позволяло удалённо вызвать сбой приложения. Возможность выполнения произвольного кода они не исключают, но подтверждённых случаев такой эксплуатации в бюллетене нет.

Другая проблема, CVE-2026-119610, касалась обработки усечённых RTP-пакетов H.264. Из-за ошибки при проверке длины пакета код мог читать данные за его пределами, что создавало риск падения и раскрытия фрагментов памяти. Исправления вошли в компонент gst-plugins-good версии 1.28.9.

Среди исправлений других обработчиков — некорректная работа с памятью при разборе H.265, MXF и видео VMnc, которое может встречаться в AVI-файлах. В частности, уязвимость CVE-2026-116611 в декодере VMnc позволяла специально подготовленному файлу вызвать сбой или включить посторонние данные из памяти в декодированные кадры. Эти проблемы описаны в бюллетенях безопасности, опубликованных вместе с релизом.

Авторы GStreamer вернулись и к двум ранее закрывавшимся ошибкам: неполному исправлению чтения за границами памяти в парсере MPEG-4 (GST-SA-2026-0049) и состоянию гонки с использованием уже освобождённой памяти в защите RTP-сессий от отказа в обслуживании (GST-SA-2026-0074). Таким образом, выпуск устраняет как новые выявленные проблемы, так и недостатки предыдущих защитных изменений.

MP3-плееры и потоковое видео избавились от отдельных сбоев

У GStreamer есть компоненты decodebin3 и playbin3, которые помогают приложениям автоматически подобрать обработчики для аудио и видео. В предыдущих сборках определённые сочетания файлов и источников могли вызывать внутреннюю ошибку проверки состояния (assertion) с аварийным завершением проигрывателя. В списке исправленных задач упоминаются MP3 с ID3-тегами и сбой, обнаруженный при работе плеера Strawberry. В 1.28.9 эти случаи исправлены.

Изменения коснулись и ситуаций, когда видео загружается постепенно:

MP4/MOV: qtdemux исправляет переход к позиции за концом файла в потоковом режиме (push mode).
FLV: flvdemux перестаёт преждевременно объявлять конец потока после служебных завершений последовательностей AVC или аудио.
RTSP: rtspsrc повторно использует запасной вариант обработки нестандартного URL для нескольких дорожек одного потока.
H.264/H.265 через RTP: исправлено отслеживание расширений заголовков при восстановлении видеоданных из сетевых пакетов.

В совокупности эти правки затрагивают привычные симптомы: внезапное закрытие плеера, преждевременную остановку ролика или ошибку при подключении к сетевой трансляции. При этом конкретный результат зависит от того, какие элементы GStreamer использует программа.

Исправления затронули аппаратное ускорение и HLS-трансляции

Разработчики поправили параметры кодировщика AMD AMF: управление скоростью потока для H.265 и AV1, а также размер группы кадров (GOP) для H.265. Компоненты V4L2, которые связывают фреймворк с видеоустройствами Linux, получили изменения согласования параметров при декодировании H.264 и H.265. Для VA-API убрали объявление форматов, которые кодировщик фактически не поддерживает.

Отдельные правки связаны с доставкой потоков. В hlssink3 исправили регрессию записи потоков CMAF и WebVTT, а в awss3hlssink — ошибку временных меток EXT-X-PROGRAM-DATE-TIME: раньше они могли смещаться вдвое быстрее длительности сегментов. Такие метки нужны, чтобы сопоставлять видеосегменты с реальным временем трансляции.

Устранили также падение при остановке аудиокомпонента ASIO, проблемы подключения и отключения экранов в Wayland и ошибку управления EGL-дисплеем в gtk4paintablesink. Плагин webrtcsink получил поддержку кодировщика mpph264enc для платформ Rockchip. Эти пункты относятся к разным устройствам и сценариям, поэтому их эффект будет заметен только в приложениях с соответствующей конфигурацией.

Чем GStreamer 1.28.9 отличается от предыдущей версии

Предыдущий релиз 1.28.8 от 8 октября 2026 года исправлял, среди прочего, регрессии воспроизведения HLS/DASH и перемотки FLAC, а также проблемы обработки RTSP и RTP. В версии 1.28.9 акцент сместился на защиту от специально сформированных потоков и файлов, исправления аварийных завершений медиаплееров и корректную работу отдельных сетевых форматов.

GStreamer — библиотечная основа мультимедийных приложений. В Linux её компоненты могут поставляться системными пакетами; другие программы собираются и распространяются со своими зависимостями. Поэтому наличие версии 1.28.9 в исходном коде проекта само по себе не говорит, что все установленные плееры уже используют исправленные библиотеки и плагины.

На дату анонса 6 ноября исходные архивы уже были опубликованы, а готовые сборки для Windows, macOS, Android и iOS разработчики обещали предоставить позднее. Команда считает переход с предыдущих версий ветки 1.28.x совместимым обновлением. Конкретная защищённость приложения зависит от версии подключённых компонентов gst-plugins-good, gst-plugins-bad и других задействованных модулей.

Уязвимости GStreamer затрагивают и локальное видео, и сетевые сервисы

Релиз 1.28.9 закрывает несколько разных путей обработки недоверенных мультимедийных данных: локальные видеофайлы, HLS/DASH-плейлисты и RTP-потоки. Наиболее серьёзные последствия описаны для приложений, которые автоматически получают контент из сети или принимают медиаданные от сторонних отправителей. Наряду с исправлениями безопасности обновление устраняет конкретные сбои воспроизведения и ошибки работы аппаратных кодировщиков.