CVE-2026-18649: Denial of Service su GStreamer RTP

CVE-2026-18649 è una falla di denial of service nel pacchetto GStreamer gst-plugins-good che colpisce i depayloader RTP rtph264depay e rtph265depay. La vulnerabilità risiede nell'assenza di un controllo sulla dimensione massima del buffer di riassemblaggio utilizzato durante l'elaborazione dei pacchetti RTP frammentati. Qualsiasi servizio che dipende da GStreamer per il processamento di stream media in rete—video streaming, applicazioni di comunicazione, server media—è potenzialmente vulnerabile.

La gravità è stimata CVSS 7,5 (high) ed è confermata come vulnerabilità di denial of service remoto. Un attaccante non autenticato può inviare un flusso continuo di frammenti RTP senza mai trasmettere il marcatore di fine, causando la crescita illimitata del buffer fino all'esaurimento della memoria disponibile e al conseguente crash del processo. La falla è stata pubblicata su NVD il 2026-08-06 e un segnale su repository GitHub del 2026-10-31 riporta analisi pubbliche sulla vulnerabilità, suggerendo crescente attenzione dalla comunità di ricerca.

In difesa: verificare immediatamente quali sistemi in produzione utilizzano GStreamer gst-plugins-good e quali versioni sono in uso. Controllare il sito ufficiale di GStreamer per patch disponibili e applicarle non appena possibile. Nel frattempo, implementare limitazioni sul rate di pacchetti RTP frammentati in ingresso se l'infrastruttura lo consente, e valutare l'isolamento di rete per i servizi che processano RTP fino al rilascio di una correzione verificata. Monitorare i log di crash e anomalie di memoria nei processi GStreamer.