CVE-2024-38949 (Heap Buffer Overflow) and CVE-2024-38950 (crash)

Origin: https://github.com/strukturag/libde265/commit/4089de0845e0009e019be4ca5cbebaf2aee0a8ce
Bug: https://github.com/strukturag/libde265/issues/460
Bug-Debian: https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1074416

as the version in bookworm is still using SDL1.2, the resize() function has
been backported for SDL1.2.
The display444as420() does not need backporting, as with SDL1.2 the faulty
pointer arimethic is not needed, SDL has separate buffers.
From 4089de0845e0009e019be4ca5cbebaf2aee0a8ce Mon Sep 17 00:00:00 2001
From: Dirk Farin <dirk.farin@gmail.com>
Date: Sun, 10 May 2026 22:37:53 +0200
Subject: [PATCH] dec265: fix SDL OOB on 4:4:4 streams and mid-stream
 resolution change (closes #460)

Gbp-Pq: Name CVE-2024-38949+CVE-2024-38950.patch

CVE-2026-33164 + CVE-2026-33165: fix reallocation of metadata array...

Origin: https://github.com/strukturag/libde265/commit/c7891e412106130b83f8e8ea8b7f907e9449b658
Bug: https://github.com/strukturag/libde265/security/advisories/GHSA-653q-9f73-8hvg (CVE-2026-33165)
Bug: https://github.com/strukturag/libde265/security/advisories/GHSA-wqrf-6rf5-v78r (CVE-2026-33164)
Bug-Debian: https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1131468 (CVE-2026-33165)
Bug-Debian: https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1131469 (CVE-2026-33164)

Imported from 1.0.11-0+deb11u4
(cherry picked from commit c7891e412106130b83f8e8ea8b7f907e9449b658)

Gbp-Pq: Name CVE-2026-33164+33165.patch

CVE-2023-51792: check validity of conformance window parameters

Origin: https://github.com/strukturag/libde265/commit/221e767136b8c46c748ae35b79ec9b976b3da301

Imported from 1.0.11-0+deb11u4
(cherry picked from commit 221e767136b8c46c748ae35b79ec9b976b3da301)

Gbp-Pq: Name CVE-2023-51792.patch

CVE-2023-49468

commit 3e822a3ccf88df1380b165d6ce5a00494a27ceeb
Author: Dirk Farin <dirk.farin@gmail.com>
Date:   Thu Nov 23 19:11:34 2023 +0100

    fix #432 (undefined IPM)

Gbp-Pq: Name CVE-2023-49468.patch

CVE-2023-49467

commit 7e4faf254bbd2e52b0f216cb987573a2cce97b54
Author: Dirk Farin <dirk.farin@gmail.com>
Date:   Thu Nov 23 19:38:34 2023 +0100

    prevent endless loop for #434 input

Gbp-Pq: Name CVE-2023-49467.patch

CVE-2023-49465

commit 1475c7d2f0a6dc35c27e18abc4db9679bfd32568
Author: Dirk Farin <dirk.farin@gmail.com>
Date:   Thu Nov 23 19:43:55 2023 +0100

    possible fix for #435

Gbp-Pq: Name CVE-2023-49465.patch

CVE-2023-47471

commit e36b4a1b0bafa53df47514c419d5be3e8916ebc7
Author: Dirk Farin <dirk.farin@gmail.com>
Date:   Sat Nov 4 15:20:50 2023 +0100

    null-pointer check in debug output (fixes #426)

Gbp-Pq: Name CVE-2023-47471.patch

CVE-2023-43887

commit 63b596c915977f038eafd7647d1db25488a8c133
Author: Dirk Farin <dirk.farin@gmail.com>
Date:   Fri Sep 1 21:18:48 2023 +0200

    fix #418

Gbp-Pq: Name CVE-2023-43887.patch

CVE-2023-27103

commit d6bf73e765b7a23627bfd7a8645c143fd9097995
Author: Dirk Farin <dirk.farin@gmail.com>
Date:   Sat Mar 4 10:27:59 2023 +0100

    check for valid slice header index access (fixes #394)

Gbp-Pq: Name CVE-2023-27103.patch

CVE-2023-27102

commit 0b1752abff97cb542941d317a0d18aa50cb199b1
Author: Dirk Farin <dirk.farin@gmail.com>
Date:   Sat Mar 4 10:32:43 2023 +0100

    check whether referenced PPS exists (fixes #393)

Gbp-Pq: Name CVE-2023-27102.patch

[PATCH] Don't update sps if they are only repeated

This is an attempt to improve the mitigations from #365 and #366 and picks up an idea I described at #345:

> One way would be just to look at the pointers of the SPS (fast and easy, but
> may reject more than required), or investigate if the SPS used for the image
> generations are "compatible".

This changes do exactly this: It (very conservativly) checks if the old and new sps have
identical information -- except the reference picture set, which I believe is supposed
to be updated by new sps'). If they are basically identical, the old sps will be
used instead of the new one, (of course, reference image set is updated from the new one)

I'm using standalone operator== and helper functions to avoid changing ABI of the library;
if an ABI bump would be done, of course this should go to the respective classes.

Gbp-Pq: Name recycle_sps_if_possible.patch

[PATCH] Use the sps from the image

(as e.g mc_chroma is using the sps to determine
picture properties, like pic_width_in_luma_samples
and pic_height_in_luma_samples, I *think* this is
more correct.

This PR is for discussion. (See #345.)
It makes the failures go away, but that does not mean it's correct :)

The following poc will be stop failing if (only) this
patch is applied:

 - poc2  #336 - CVE-2022-43238
 - poc4  #338 - CVE-2022-43241
 - poc6-1, poc6-2 #340 - CVE-2022-43242
 - poc7-1, poc7-2  #341 - CVE-2022-43239
 - poc8-1 #342 - CVE-2022-43244
 - poc9-3 #343 - CVE-2022-43236
 - poc10-2, poc10-3 #344 - CVE-2022-43237
 - poc16 #350
 - poc19 #353

The following are still failing if only this patch is
applied, but they stop failing if #365 is applied as well, but will
still fail with ONLY #365 applied (IOW, both are needed)

 - poc1  #335 - CVE-2022-43240
 - poc3  #337 - CVE-2022-43235
 - poc5   #339 - CVE-2022-43423
 - poc9-1,poc9-2, poc9-4  #343 - CVE-2022-43236
 - poc14  #348 - CVE-2022-43253
 - poc15  #349 - CVE-2022-43248
 - poc17-1, poc17-2  #351
 - poc18 #352 - CVE-2022-43245

Gbp-Pq: Name use_sps_from_the_image.patch

[PATCH] Try to mitigate asan failures.

See #345 for my analysis and details…

(This PR is just for discussion.)

(The CVE references are obtained from the Debian security tracker,
which links the issues.)

This makes the following POCs stop failing:

- poc3 (#337)
- poc7-1 (#341) CVE-2022-43239 (note: does NOT fix poc7-2)
- poc8-2, poc8-3, poc8-4 (#342) CVE-2022-43244   (note: does NOT fix poc8-1)
- poc11-1, poc11-2 (#345) CVE-2022-43249
- poc12 (#346)
- poc13 (#347) CVE-2022-43252
- poc16 (#350)

Gbp-Pq: Name reject_reference_pics_from_different_sps.patch

Disable building of some internal tools that no longer link

because internal symbols are no longer exported.

Gbp-Pq: Name disable_tools.patch

Only export symbols defined in the decoder API.

The encoder API is not final yet, so upstream exports all symbols to make
development easier. For packaging we only want to expose the public API.

Gbp-Pq: Name only_export_decoder_api.patch

libde265 (1.0.11-1+deb12u3) bookworm-security; urgency=high

  * Non-maintainer upload by the LTS Team.
  * Backport fixes for:
    - CVE-2023-51792 - Buffer-Overflow
    - CVE-2026-33164 - DoS (crash) (Closes: #1131469)
    - CVE-2026-33165 - heap out-of-bounds write (Closes: #1131468)
    - CVE-2024-38949 - Heap Buffer Overflow (Closes: #1074416)
    - CVE-2024-38950 - Heap Buffer Overflow (same bug/patch as 2024-38949)
    - CVE-2024-45382 - Heap Buffer Read Overflow
    - CVE-2026-45383 - Heap Buffer Read Overflow
    - CVE-2026-49295 - Out-of-bounds write (Closes: #1140431)
    - CVE-2026-49337 - Unbounded memory accumulation (also #1140431)
    - CVE-2026-49346 - Heap buffer overflow (also #1140431)
    - CVE-2026-54240 - Heap Buffer Overflow
    - CVE-2026-54241 - Heap Buffer Overflow
  * Backport security fixes without CVE assigned yet:
    - GHSA-xp3h-6f5r-8cxp - Use after free / double free
      in concurrent execution enviornments (race conditions)
    - GHSA-mm7m-v26f-wf8x - heap-use-after-free

[dgit import unpatched libde265 1.0.11-1+deb12u3]

Import libde265_1.0.11-1+deb12u3.debian.tar.xz

[dgit import tarball libde265 1.0.11-1+deb12u3 libde265_1.0.11-1+deb12u3.debian.tar.xz]

Import libde265_1.0.11.orig.tar.gz

[dgit import orig libde265_1.0.11.orig.tar.gz]