CVE-2026-120451
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de libgphoto2 allant jusqu'à la version 2.5.34 incluse sont concernées. Cette bibliothèque est couramment utilisée par les systèmes Linux pour communiquer avec des appareils photo numériques via USB. La faille réside dans la manière dont le logiciel gère certains modèles d'appareils photo Jeilin, où un appareil peut envoyer un nombre excessif d'entrées de table d'allocation pour saturer la mémoire du système.
Un attaquant peut prendre le contrôle total du système, compromettant la confidentialité, l'intégrité et la disponibilité en exécutant du code arbitraire. Cela nécessite un accès physique au serveur pour y brancher un périphérique USB malveillant spécialement conçu. Aucune authentification ni interaction de l'utilisateur n'est requise une fois l'appareil connecté.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
libgphoto2 through 2.5.34 contains stack-based and heap-based buffer overflow vulnerabilities in jl2005c_init() that allow malicious USB devices to corrupt memory by supplying an unbounded allocation table entry count. Attackers can connect a spoofed Jeilin JL2005B/C/D camera reporting 1022 or more entries to overwrite the saved return address and heap data, potentially achieving code execution.