Katalog podatności CVE

W jądrze Linux w podsystemie CEC dla urządzenia Extron DA HD 4K Plus stwierdzono brak walidacji danych wejściowych, co może prowadzić do przepełnienia bufora msg.msg[] w przypadku nieprawidłowo sformułowanych danych. Poprawka dodaje odpowiedni test poprawności.

W jądrze Linux w podsystemie CEC stwierdzono problem z serializacją dostarczania wiadomości do wyłącznego obserwatora (exclusive follower). Funkcja cec_receive_notify() odczytuje wskaźnik obserwatora bez blokady, co może prowadzić do wyścigu z trybami zmian lub zwolnieniem. Poprawka serializuje sprawdzanie braku obserwatora i dostarczanie wiadomości.

W funkcji cedrus_init_ctrls() w sterowniku media cedrus jądra Linux handler kontrolek V4L2 jest inicjalizowany przed alokacją pamięci dla ctx->ctrls. Jeśli alokacja się nie powiedzie, funkcja zwraca -ENOMEM bez zwolnienia wcześniej przydzielonych zasobów handlera, co prowadzi do wycieku pamięci.

W sterowniku media cobalt jądra Linux funkcja snd_cobalt_card_create() zapisuje cobsc w sc->private_data i ustawia snd_cobalt_card_private_free() jako sc->private_free. Jeśli cobalt_alsa_init() zawiedzie, ścieżka err_exit_free wywołuje snd_card_free(sc), a następnie kfree(cobsc), co powoduje podwójne zwolnienie tego samego obiektu.

W jądrze Linux w sterowniku cx231xx (media) wykryto lukę polegającą na tym, że zmiana formatu lub standardu wideo (vidioc_s_fmt_vid_cap, vidioc_s_std) była blokowana tylko gdy zajęta była kolejka wideo, a nie kolejka VBI. Ponieważ kolejka VBI korzysta z tej samej geometrii (dev->width, dev->norm), aplikacja mogła powiększyć szerokość lub zmienić standard na PAL w trakcie działania strumienia VBI, co prowadziło do zapisu poza zaalokowanym buforem (heap out-of-bounds write) w funkcji cx231xx_do_vbi_copy().

W sterowniku media cx23885 jądra Linux funkcja netup_ci_exit() zwalnia netup_ci_state, podczas gdy jego element roboczy netup_read_ci_status() może być wciąż oczekujący lub uruchomiony w systemowej kolejce roboczej. Worker uzyskuje stan przez container_of() i go dereferencjonuje, więc nie może przetrwać zwolnienia stanu.

W sterowniku media em28xx jądra Linux ścieżka audio-only rejestruje rozszerzenia podczas sondowania urządzenia głównego, co dla płyt dual-TS następuje przed utworzeniem dev_next. Zduplikowane urządzenie dziedziczy is_audio_only i jest niezależnie wstawiane do em28xx_devlist, co może prowadzić do use-after-free podczas rozłączenia.

W sterowniku media em28xx jądra Linux przy urządzeniu z has_dual_ts=1 i ścieżką is_audio_only zarówno dev, jak i dev->dev_next są dodawane do globalnej listy em28xx_devlist. Podczas rozłączenia em28xx_close_extension(dev) usuwa tylko dev->devlist, pozostawiając dev->dev_next->devlist w globalnej liście, co po zwolnieniu dev_next prowadzi do wiszącego wskaźnika i uszkodzenia listy.

W sterowniku media go7007 jądra Linux funkcja go7007_snd_init() pobiera referencję v4l2_device dla strony ALSA, ale go7007_snd_remove() zwalnia ją natychmiast po wywołaniu snd_card_free_when_closed(). Jest to zbyt wcześnie, gdy proces użytkownika wciąż ma otwarty PCM przechwytywania, co może prowadzić do use-after-free.

W sterowniku media i2c imx415 jądra Linux ścieżka VBLANK zwracała natychmiast, gdy programowanie VMAX nie powiodło się po pobraniu referencji runtime PM przez pm_runtime_get_if_in_use(). Prowadzi to do wycieku referencji runtime PM.

W sterowniku media i2c ov02a10 jądra Linux funkcja ov02a10_check_hwcfg() wywołuje fwnode_handle_put(ep) natychmiast po alokacji i parsowaniu endpointu, ale następnie używa tego samego uchwytu 'ep' w fwnode_property_read_u32(), co prowadzi do use-after-free. Dodatkowo odczyt opcjonalnej właściwości 'ovti,mipi-clock-voltage' nadpisywał zmienną 'ret', powodując niepowodzenie sondowania.

W sterowniku media i2c ov7740 jądra Linux funkcja ov7740_remove() miała poważny błąd kolejności niszczenia: niszczyła mutex sterownika przed zwolnieniem handlera kontrolek V4L2, który zależy od tego mutexa, co prowadziło do paniki jądra (use-after-destroy). Dodatkowo sterownik wywoływał v4l2_ctrl_handler_free() i mutex_destroy() sekwencyjnie, a następnie ov7740_free_controls(), który wywołuje je ponownie, powodując podwójne zwolnienie.

W jądrze Linux w funkcji isys_notifier_init() sterownika media intel/ipu6 występuje wyciek zasobów. Gdy parsowanie lub dodanie endpointu zakończy się błędem w połowie pętli, funkcja wraca bez wywołania v4l2_async_nf_cleanup(), pozostawiając wcześniej dodane połączenia v4l2_async_connection na liście oczekujących notyfikatora.

W jądrze Linux w sterowniku media platform mtk-mdp3 funkcja mdp_probe() nieprawidłowo zarządza licznikiem referencji urządzenia SCP. Ścieżka awaryjna zwalnia referencję uzyskaną przez __get_pdev_by_id() zbyt wcześnie, a następnie scp_put() zwalnia ją ponownie, co prowadzi do podwójnego zwolnienia referencji.

W jądrze Linux w sterowniku media platform mtk-mdp3 brakuje sprawdzenia poprawności po wyszukaniu urządzenia SCP. Jeśli sterownik SCP nie został jeszcze powiązany, może dojść do dereferencji wskaźnika NULL.

W jądrze Linux w sterowniku media rc sunxi-cir po udanej rejestracji urządzenia rc_register_device() ścieżki błędów próbkowania nie wyrejestrowują urządzenia. Wywoływane jest jedynie rc_free_device(), co pozostawia zarejestrowane urządzenie rc i powiązane zasoby.

W jądrze Linux w dekoderze media rkvdec HEVC funkcja st_ref_pic_set_prediction() oblicza indeks RPS jako st_rps_idx - (delta_idx_minus1 + 1) na typach u8. Gdy delta_idx_minus1 + 1 przekracza bieżący indeks, odejmowanie się zawija i dostęp do tablicy calculated_rps_st_sets[ref_rps_idx] następuje daleko poza granicami.

W jądrze Linux w sterowniku rtl2832_sdr (podsystem media) występuje wyciek pamięci DMA. Funkcja rtl2832_sdr_remove() przy odłączeniu urządzenia USB ustawia dev->udev na NULL przed zakończeniem strumieniowania, przez co usb_free_coherent() nie zwalnia buforów DMA, a alokowane URBs przetrwają urządzenie. Problem naprawiono, zastępując video_unregister_device() funkcją vb2_video_unregister_device() wywoływaną przed wyzerowaniem dev->udev.

W jądrze Linux w sterowniku rtl2832_sdr funkcja rtl2832_sdr_start_streaming() przy błędzie alokacji lub wysyłania URB-ów nie zwalniała wcześniej przydzielonych buforów DMA ani struktur URB. Prowadziło to do wycieku pamięci DMA oraz do odczytu poza tablicą urb_list[] przy kolejnej próbie uruchomienia strumieniowania, co mogło skutkować użyciem nieprawidłowych wskaźników.

W jądrze Linux w sterowniku media s2255 funkcja s2255_fillbuff() kopiuje vc->jpg_size bajtów ramki JPEG/MJPEG do płaszczyzny vb2. Wartość vc->jpg_size pochodzi bezpośrednio z nagłówka S2255_MARKER_FRAME wysyłanego przez urządzenie i nie jest ograniczana, co pozwala na zapis poza buforem.