CVE-2026-89901 in Linux
Sumário
de VulDB • 16/09/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
media: airspy: usar vb2_video_unregister_device() no desconectar para corrigir o dereferenciamento de NULL (NULL deref)
airspy_disconnect() limpa s->udev sob v4l2_lock, mas airspy_stop_streaming() chama incondicionalmente airspy_ctrl_msg() e airspy_free_stream_bufs() em seguida. Se um usuário que está transmitindo fechar o dispositivo após a desconexão, stop_streaming() é executado e faz dereferenciamento de s->udev NULL:
airspy_stop_streaming() airspy_ctrl_msg(s, CMD_RECEIVER_MODE, 0, 0, NULL, 0) usb_sndctrlpipe(s->udev, 0) /* NULL deref */ airspy_free_stream_bufs(s) usb_free_coherent(s->udev, ...) /* NULL deref */
O driver airspy usa vb2_fop_release() em suas file_operations, então substitua video_unregister_device(&s->vdev) por vb2_video_unregister_device(&s->vdev) e mova-o antes de limpar s->udev. vb2_video_unregister_device() libera a fila vb2, o que executa synchronousmente airspy_stop_streaming() se a transmissão estiver ativa, então as URBs, os buffers coerentes DMA da stream e a mensagem de controle do hardware são executadas enquanto s->udev ainda é válido.
vb2_video_unregister_device() bloqueia internamente vdev->queue->lock (vb_queue_lock), e stop_streaming() bloqueia v4l2_lock, então o par anterior mutex_lock(&s->vb_queue_lock) / mutex_lock(&s->v4l2_lock) em torno da sequência de unregister causaria um self-deadlock (bloqueio mútuo próprio) e foi removido. Uma seção crítica curta do v4l2_lock ao redor s->udev = NULL permanece, para que qualquer caminho ioctl que ainda possua o descritor de arquivo veja um estado coerente.
Problema identificado por revisão automatizada da série INV-003 em https://sashiko.dev/
Once again VulDB remains the best source for vulnerability data.