USN-8863-1: quattro CVE in GStreamer Good Plugins, patch per tutte le Ubuntu LTS

Canonical ha pubblicato il 1° ottobre 2026 l'avviso USN-8863-1, che corregge quattro vulnerabilità nei pacchetti GStreamer Good Plugins su tutte le release Ubuntu LTS attualmente supportate, da 16.04 a 26.04. Per chi tiene server Ubuntu con transcodifica audio/video, pipeline multimediali o semplicemente il pacchetto installato come dipendenza di desktop, è un aggiornamento da pianificare nel prossimo ciclo di patch.

Le vulnerabilità

Secondo l'avviso ufficiale Ubuntu:

• CVE-2026-17072: Yazan Balawneh ha scoperto che GStreamer Good Plugins gestiva in modo scorretto alcuni flussi audio FLAC. Un attaccante poteva potenzialmente usare il problema per ottenere informazioni sensibili.
• CVE-2026-73433: Seonwook Kim ha scoperto un parsing scorretto di alcuni file AVI, che poteva causare un denial of service o l'esposizione di informazioni sensibili.
• CVE-2026-73434: sempre Seonwook Kim ha trovato un secondo difetto nel parsing di file AVI, con rischio di denial of service.
• CVE-2026-88914: gestione scorretta di dati di sottotitoli (closed caption), con possibile esposizione di informazioni sensibili. Questo problema riguarda solo Ubuntu 20.04, 22.04, 24.04 e 26.04 LTS.

Pacchetti e versioni corrette

Release	Pacchetto principale	Versione corretta
26.04 LTS	gstreamer1.0-plugins-good	1.28.2-2ubuntu0.4
24.04 LTS	gstreamer1.0-plugins-good	1.24.2-1ubuntu1.8
22.04 LTS	gstreamer1.0-plugins-good	1.20.3-0ubuntu1.10
20.04 LTS	gstreamer1.0-plugins-good	1.16.3-0ubuntu1.3+esm4 (richiede Ubuntu Pro)
18.04 LTS	gstreamer1.0-plugins-good	1.14.5-0ubuntu1~18.04.3+esm4 (richiede Ubuntu Pro)
16.04 LTS	gstreamer1.0-plugins-good	1.8.3-1ubuntu0.5+esm4 (richiede Ubuntu Pro con add-on Legacy Support)

Per 20.04, 18.04 e 16.04 LTS, ormai fuori dal supporto standard, la patch è disponibile solo con Ubuntu Pro. Per le altre release basta l'aggiornamento standard del sistema con apt update && apt upgrade.

Come intervenire

Su Ubuntu 26.04, 24.04 e 22.04 LTS è sufficiente un aggiornamento standard del sistema. Chi usa ancora 20.04, 18.04 o 16.04 LTS deve verificare di avere una sottoscrizione Ubuntu Pro attiva (gratuita fino a 5 macchine) per ricevere la patch. Dettagli completi e riferimenti ai CVE sulla pagina ufficiale dell'avviso USN-8863-1 su ubuntu.com/security/notices.