Ein Programmierfehler in der libcue-Bibliothek führt zu einer Sicherheitslücke in Gnome. Ein Angreifer kann dadurch Befehle mit den Rechten des Anwenders ausführen. Bei CUE handelt es sich um Metadaten für CD-Abbilder, die immer noch beim FLAC Audio-Codec Verwendung finden.
Deshalb verarbeiten viele moderne Audio-Player wie Audacious immer noch solche Dateien. Zusätzlich integriert Gnome die Anwendung tracker-miners, die dazu dient, Dateien im Benutzer-Homeverzeichnis zu indexieren, um ihre Durchsuchbarkeit zu verbessern. Wenn Dateien in speziellen Unterverzeichnissen des Home-Verzeichnisses wie ~/Downloads abgelegt oder geändert werden, erfolgt automatisch eine Aktualisierung des Index durch tracker-miners. Der Angreifer muss lediglich sein Opfer dazu bringen, einen Link anzuklicken, der den Schadcode ausführt.
Libcue wies einen Fehler bei der Verarbeitung des “INDEX”-Elements in den Cue-Sheets auf. Dieser Fehler trat auf, wenn anstelle von “INDEX 01 00:00:00” (im Format Index, Tracknummer, Startzeit) beispielsweise “INDEX 4294567296 0” im Cue-Sheet erschien. Dies führte zu einem Integer-Überlauf, da die Funktionen den Wert 2^32 in -400000 umwandelten, anstatt ihn zu erkennen. Darüber hinaus überprüfte eine weitere Funktion namens “track_set_index” nicht, ob der Index positiv war, was dazu führte, dass der Code an einer Stelle außerhalb des beabsichtigten Speicherbereichs schreiben konnte.
