CVE-2026-89894

W jądrze Linuksa usunięto następującą lukę:

media: cx231xx: odrzuć zmiany geometrii, gdy kolejka VBI jest zajęta

vidioc_s_fmt_vid_cap() i vidioc_s_std() zmieniają ustawienia na całym urządzeniu
dev->width / dev->norm, ale odrzuć zmianę tylko wtedy, gdy kolejka *video*
(dev->vidq) jest zajęty. Kolejka VBI (dev->vbiq) ma tę samą geometrię:
cx231xx_init_vbi_isoc() blokuje dma_q->lines_per_field z dev->norm,
wielkość płaszczyzny VBI videobuf2 wynosi od dev->width / dev->norm in
vbi_queue_setup() i vbi_buf_prepare() oraz cx231xx_do_vbi_copy() następnie
ponownie oblicza przesunięcie docelowe na podstawie *live* dev->width i
zablokowanelines_per_field przy każdym ukończeniu URB:

offset = linie_ukończone * (dev->szerokość << 1) + ...;
if (dma_q->bieżące pole == 2)
offset += dev->szerokość * 2 * dma_q->lines_per_field;
memcpy(płaszczyzna + przesunięcie, p_buffer, lencopy);

Ponieważ węzeł VBI współdzieli video_ioctl_ops z węzłem wideo, an
aplikacja może wymiarować małą płaszczyznę VBI (REQBUFS/QBUF o małej szerokości,
lub ze standardem NTSC), a następnie powiększ dev->width (lub przełącz dev->norm
do PAL) przez węzeł wideo, gdy uruchomiony jest strumień VBI — plik
zmiana jest dozwolona, ponieważ zaznaczone jest tylko dev->vidq - i pozwól urządzeniu
dostarczyć ładunek VBI pola 2. Funkcja cx231xx_do_vbi_copy() oblicza teraz
przesunięte z większą geometrią i memcpy() poza końcem mniejszej
płaszczyzna, która została już przydzielona, sterta poza zakresem zapisu, której przesunięcie
jest wybierany przez atakującego i którego zawartość pochodzi z urządzenia. The
strażnik na pole w cx231xx_copy_vbi_line() nie pomaga: ogranicza
skopiuj względem zatrzaśniętego pola_linii, a nie rzeczywistej pojemności samolotu,
i vb2 nie uruchamia ponownie buf_prepare() dla już przygotowanego bufora.

Odrzuć zmianę formatu/standardu, gdy kolejka VBI jest również zajęta, tzw
geometria nie może się zmienić pod przydzielonym buforem VBI.