CVE-2026-89894

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: media: cx231xx: VBI kuyruğu meşgulken geometri değişikliklerini reddet vidioc_s_fmt_vid_cap() ve vidioc_s_std() fonksiyonları cihaz genelindeki dev->width / dev->norm değerlerini değiştirir ancak değişikliği yalnızca *video* kuyruğu (dev->vidq) meşgul olduğunda reddeder. VBI kuyruğu (dev->vbiq) aynı geometriyi paylaşır: cx231xx_init_vbi_isoc() fonksiyonu dma_q->lines_per_field değerini dev->norm üzerinden alır, VBI videobuf2 düzlemi vbi_queue_setup() ve vbi_buf_prepare() içinde dev->width / dev->norm değerlerine göre boyutlandırılır ve ardından cx231xx_do_vbi_copy() her URB tamamlandığında hedef ofseti *canlı* dev->width ve sabitlenmiş lines_per_field üzerinden yeniden hesaplar: offset = lines_completed * (dev->width << 1) + ...; if (dma_q->current_field == 2) offset += dev->width * 2 * dma_q->lines_per_field; memcpy(plane + offset, p_buffer, lencopy); VBI düğümü, video düğümü ile video_ioctl_ops yapısını paylaştığından, bir uygulama küçük bir VBI düzlemi boyutlandırabilir (küçük bir genişlikle veya NTSC standardıyla REQBUFS/QBUF kullanarak), ardından VBI akışı çalışırken video düğümü aracılığıyla dev->width değerini artırabilir (veya dev->norm değerini PAL olarak değiştirebilir) -- bu değişikliğe izin verilir çünkü yalnızca dev->vidq kontrol edilir -- ve cihazın bir field-2 VBI yükü iletmesini sağlayabilir. cx231xx_do_vbi_copy() artık ofseti daha büyük geometriyle hesaplar ve önceden tahsis edilmiş olan daha küçük düzlemin sonunun ötesine memcpy() işlemi yapar; bu durum, ofseti saldırgan tarafından seçilen ve içeriği cihazdan gelen bir heap out-of-bounds write hatasına yol açar. cx231xx_copy_vbi_line() içindeki alan başına koruma yardımcı olmaz: kopyalamayı düzlemin gerçek kapasitesine göre değil, sabitlenmiş lines_per_field değerine göre sınırlar ve vb2, halihazırda hazırlanmış bir tampon için buf_prepare() işlemini yeniden çalıştırmaz. Tahsis edilmiş bir VBI tamponu altında geometrinin değişememesi için, VBI kuyruğu meşgul olduğunda da format/standart değişikliğini reddedin.