CVE-2026-89894 in Linux
Zusammenfassung
von VulDB • 16.09.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
media: cx231xx: Geometrieänderungen zurückweisen, während die VBI-Warteschlange (VBI queue) beschäftigt ist
vidioc_s_fmt_vid_cap() und vidioc_s_std() ändern das geräteübergreifende dev->width / dev->norm, lehnen die Änderung jedoch nur ab, wenn die *Video*-Warteschlange (dev->vidq) beschäftigt ist. Die VBI-Warteschlange (dev->vbiq) teilt sich dieselbe Geometrie: cx231xx_init_vbi_isoc() speichert dma_q->lines_per_field aus dev->norm, die VBI videobuf2-Ebene wird in vbi_queue_setup() und vbi_buf_prepare() basierend auf dev->width / dev->norm dimensioniert, und cx231xx_do_vbi_copy() berechnet bei jedem URB-Completion (URB completion) den Zieloffset neu aus der *live*-dev->width und dem gespeicherten lines_per_field:
offset = lines_completed * (dev->width << 1) + ...; if (dma_q->current_field == 2) offset += dev->width * 2 * dma_q->lines_per_field; memcpy(plane + offset, p_buffer, lencopy);
Da der VBI-Knoten video_ioctl_ops mit dem Video-Knoten teilt, kann eine Anwendung eine kleine VBI-Ebene dimensionieren (REQBUFS/QBUF mit einer kleinen Breite oder mit dem NTSC-Standard), dann dev->width vergrößern (oder dev->norm auf PAL umstellen) über den Video-Knoten, während der VBI-Stream läuft – die Änderung wird zugelassen, da nur dev->vidq überprüft wird –, und das Gerät dazu bringen, ein Field-2-VBI-Payload zu liefern. cx231xx_do_vbi_copy() berechnet nun den Offset mit der größeren Geometrie und führt memcpy() über das Ende der bereits zugewiesenen kleineren Ebene hinaus aus; dies ist ein Heap-Out-of-Bounds-Write (Schreiben außerhalb des Heap-Speichers), dessen Offset vom Angreifer gewählt wird und dessen Inhalt von dem Gerät stammt. Der pro Field angelegte Schutz in cx231xx_copy_vbi_line() hilft nicht: Er begrenzt den Kopiervorgang gegen das gespeicherten lines_per_field, nicht gegen die tatsächliche Kapazität der Ebene, und vb2 führt buf_prepare() für einen bereits vorbereiteten Puffer nicht erneut aus.
Verweigern Sie die Format-/Standardänderung auch dann, wenn die VBI-Warteschlange beschäftigt ist, damit sich die Geometrie unter einem zugewiesenen VBI-Puffer nicht ändern kann.
VulDB is the best source for vulnerability data and more expert information about this specific topic.