30秒で判断
- 対応すべき人: GStreamerを使ってHLS/DASH/MSSなどのアダプティブストリーミングを処理するアプリケーション（メディアレコーダー、プロキシ、ダウンローダー等）を運用している開発者・システム管理者
- 対応不要な人: GStreamerを使用していない、またはアダプティブストリーミング機能（HLS/DASH/MSS）を利用していない人
- 確認コマンド:
gst-inspect-1.0 --version
概要
GStreamerのアダプティブストリーミング用デマルチプレクサ（HLS・DASH・MSS）には、メディアプレイリストやマニフェストを処理する際に、マニフェスト内で参照されているURIのスキームを制限せずに取得してしまう不備が確認されました。
この不備が存在するバージョンでは、攻撃者がマニフェストのURLを制御できる場合、またはHTTPマニフェストのレスポンスにコンテンツを注入できる場合に、file:// スキームを使ってサーバー上の任意のローカルファイルを指定することが可能です。これにより、対象アプリケーションがそのファイルを読み込み・処理してしまう可能性があります。
特にメディアレコーダー、プロキシ、ダウンローダーなどのサーバーサイド・自動処理の用途では、ローカルファイルの内容の漏洩につながるおそれがあります。また、エラー応答の違いによってファイルの存在自体が推測できてしまう可能性も指摘されています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.5 (High) |
| CVSSバージョン | 3.1 |
| CWE | CWE-73（外部制御可能なファイル名またはパス） |
影響を受けるソフトウェア
| 製品 | 影響を受けるバージョン | 修正バージョン |
|---|---|---|
| GStreamer (HLS/DASH/MSSデマルチプレクサ) | 詳細はベンダーセキュリティアドバイザリを参照 | ベンダーセキュリティアドバイザリを参照 |
修正バージョンと回避策
- GStreamerのセキュリティアドバイザリ（sa-2026-0097）を確認し、提供される修正バージョンへアップデートしてください。
- アップデートが難しい場合は、マニフェスト取得先URLの信頼性を検証する、または
file://等の非HTTPスキームを許可しない設定・サンドボックス化を検討してください。 - サーバー側で外部のマニフェストを自動的に処理するシステムでは、入力元の制限を強化することを推奨します。
関連リンク
- NVD - CVE-2026-121629
- GStreamer Security Advisory sa-2026-0097
- Red Hat - CVE-2026-121629
- Red Hat Bugzilla
- freedesktop.org GitLab Work Item
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。