CVE-2026-40341

Biblioteka libgphoto2 do wersji 2.5.34 zawiera podatność polegającą na odczycie i zapisie poza granicami sterty w funkcji jl2005bcd_decompress(). Złośliwe kamery USB mogą dostarczyć małe wartości tablicy alokacji i nagłówek miniatury, powodując przekroczenie bufora o około 30 KB i wyciek zawartości sterty w obrazach podglądu.

libgphoto2 do wersji 2.5.34 zawiera przepełnienie bufora na stosie i stercie w funkcji jl2005c_init(). Złośliwe urządzenia USB mogą podać nieograniczoną liczbę wpisów tablicy alokacji, nadpisać adres powrotu i dane sterty, co potencjalnie umożliwia wykonanie kodu.

libgphoto2 w wersjach do 2.5.33 włącznie ma podatność out-of-bounds read w funkcji ptp_unpack_OI() w camlibs/ptp2/ptp-pack.c (linie 530–563). Funkcja waliduje len < PTP_oi_SequenceNumber (czyli len < 48), ale następnie odczytuje offsety 48–56, do 9 bajtów poza zwalidowaną granicą, poprzez heurystykę wykrywania rozmiaru obiektu Samsung Galaxy 64-bit. Poprawka jest w commicie 7c7f515bc88c3d0c4098ac965d313518e0ccbe33.

libgphoto2 w wersjach do 2.5.33 włącznie zawiera błąd odczytu poza granicami bufora w funkcji ptp_unpack_Sony_DPD() w pliku camlibs/ptp2/ptp-pack.c. Funkcja odczytuje bajt FormFlag bez uprzedniego sprawdzenia granic, w przeciwieństwie do standardowej funkcji ptp_unpack_DPD(), która taką walidację wykonuje.

libgphoto2 w wersjach do 2.5.33 włącznie ma błąd odczytu poza granicami w przypadku PTP_DPFF_Enumeration funkcji ptp_unpack_Sony_DPD() w camlibs/ptp2/ptp-pack.c (linia 856). Funkcja odczytuje 2-bajtowy licznik N przez dtoh16o(data, *poffset) bez sprawdzenia, czy w buforze pozostały 2 bajty. Standardowa funkcja ptp_unpack_DPD() w linii 704 ma tę kontrolę, co potwierdza, że w wariancie Sony została pominięta przez przeoczenie. Poprawka jest w commicie 3b9f9696be76ae51dca983d9dd8ce586a2561845.

libgphoto2 w wersjach do 2.5.33 włącznie ma wyciek pamięci w funkcji ptp_unpack_Sony_DPD() w pliku camlibs/ptp2/ptp-pack.c. Podczas przetwarzania dodatkowej listy enumeracji (wprowadzonej w kamerach Sony z 2024+) funkcja nadpisuje dpd->FORM.Enum.SupportedValue nowym wywołaniem calloc() bez zwolnienia poprzedniej alokacji, co powoduje wyciek tablicy i zawartych w niej łańcuchów przy każdym parsowaniu deskryptora właściwości.

libgphoto2 w wersjach do 2.5.33 włącznie zawiera błąd odczytu poza granicami bufora w funkcji ptp_unpack_DPV() w pliku camlibs/ptp2/ptp-pack.c. Przypadki UINT128 i INT128 zwiększają offset o 16 bajtów bez sprawdzenia, czy w buforze pozostało wystarczająco dużo danych.

W libgphoto2 do wersji 2.5.33 włącznie funkcja ptp_unpack_Canon_FE() w camlibs/ptp2/ptp-pack.c (linia 1377) kopiuje nazwę pliku do 13-bajtowego bufora przez strncpy bez jawnego zakończenia znakiem NUL. Gdy dane źródłowe mają dokładnie 13 bajtów bez terminatora, bufor pozostaje niezakończony, co prowadzi do odczytów poza granicami w kolejnych operacjach na łańcuchach. Poprawka znajduje się w commicie 259fc7d3bfe534ce4b114c464f55b448670ab873.

libgphoto2 w wersjach do 2.5.33 włącznie ma dwie funkcje w camlibs/ptp2/ptp-pack.c, które przyjmują wskaźnik danych bez parametru długości, wykonując nieograniczone odczyty. Ich wywołujący w ptp_unpack_EOS_events() mają dostępny xsize, ale go nie przekazują, co uniemożliwia walidację odczytów względem granicy bufora. Poprawka jest w commicie 1817ecead20c2aafa7549dac9619fe38f47b2f53.