Niski Odebrany

CVE-2026-18748

opublikowano: 21.10.2026, 21:17

modyfikacja: 21.10.2026, 21:17

Ocena CVSS

3.5

Niski · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Host Bluetooth Classic A2DP przechowuje element informacyjny kodeka (IE) w strukturze bt_a2dp_codec_ie, jednobajtowe pole len plus stała 8-bajtowa tablica codec_ie[]. Kiedy partner AVDTP wysłał kodek IE dłuższy niż 8 bajtów, a2dp_process_config_ind() w subsys/bluetooth/host/classic/a2dp.c skopiowało tylko pierwsze 8 bajtów, ale przypisał pełną, wybraną przez atakującego długość do len, a następnie utrwalił tę niespójną strukturę w strukturze aplikacji bt_a2dp_stream poprzez stream->codec_config. bt_a2dp_get_config_cb() i bt_a2dp_set_config_cb() miały ten sam wzorzec „skróć-kopiuj-ale-zachowaj-długość”.

Lenowi ufa każdy późniejszy konsument. W szczególności obiekt odpowiadający na przychodzącą AVDTP GET_CONFIGURATION, a2dp_get_config_ind(), wykonuje net_buf_add_mem(rsp_buf, &ep->stream->codec_config.codec_ie[0], ep->stream->codec_config.len), więc sparowany partner BR/EDR, który jako pierwszy wysyła SET_CONFIGURATION niosący ponadwymiarowy kodek IE a następnie żąda konfiguracji z powrotem, powoduje, że stos odczytuje do około 245 bajtów poza końcem 8-bajtowej tablicy i przesyła je w odpowiedzi. codec_config jest ostatnim członkiem struktury bt_a2dp_stream, więc odczyt jest uruchamiany w pamięci sąsiadującej z obiektem strumienia aplikacji. Ta sama niespójność występuje także w wywołaniach zwrotnych aplikacji config_req(), reconfig_req() i get_config_rsp(), gdzie naturalna funkcja memcpy() o długości len bajtów wykonuje dalszy odczyt poza granicami.

Osiągnięcie ujawnienia na antenie wymaga CONFIG_BT_CLASSIC z CONFIG_BT_A2DP, partnera AVDTP, który zakończył parowanie (kanał AVDTP L2CAP wymaga BT_SECURITY_L2) i lokalnego punktu końcowego zarejestrowanego dla kodeka innego niż SBC — BT_A2DP_MPEG1/BT_A2DP_MPEG2/BT_A2DP_ATRAC/BT_A2DP_VENDOR przez BT_A2DP_EP_INIT() — ponieważ gałąź SBC już przypina długość IE do 4 bajtów. Ścieżka odpowiedzi bt_a2dp_get_config_cb() nie ma takiej bramki i przekazuje długość leżącą dowolnej aplikacji. Nie ma zapisu poza granicami: sprawdzenie net_buf tailroom ogranicza miejsce docelowe, więc wpływ ogranicza się do ujawnienia partnerowi równorzędnemu ograniczonego obszaru sąsiedniej pamięci RAM.

Poprawka zastępuje zakodowany na stałe BT_A2DP_MAX_IE_LENGTH konfigurowalnym CONFIG_BT_A2DP_CODEC_MAX_IE_LEN (domyślnie 8, zakres 4–253), określa z niego rozmiary codec_ie[] i odrzuca każdy otrzymany IE, który go przekracza, zamiast cichego obcinania, więc len nie może już przekraczać liczby prawidłowych bajtów.

The Bluetooth Classic A2DP host stores a codec Information Element (IE) in struct bt_a2dp_codec_ie, a one-byte len field plus a fixed 8-byte codec_ie[] array. When an AVDTP peer sent a codec IE longer than 8 bytes, a2dp_process_config_ind() in subsys/bluetooth/host/classic/a2dp.c copied only the first 8 bytes but assigned the full, attacker-chosen length to len, and then persisted that inconsistent structure into the application's struct bt_a2dp_stream via stream->codec_config. bt_a2dp_get_config_cb() and bt_a2dp_set_config_cb() had the same truncate-the-copy-but-keep-the-length pattern.

Every later consumer trusts len. In particular the responder for an incoming AVDTP GET_CONFIGURATION, a2dp_get_config_ind(), executes net_buf_add_mem(rsp_buf, &ep->stream->codec_config.codec_ie[0], ep->stream->codec_config.len), so a paired BR/EDR peer that first sends a SET_CONFIGURATION carrying an oversized codec IE and then requests the configuration back causes the stack to read up to roughly 245 bytes past the end of the 8-byte array and transmit them in the response. codec_config is the last member of struct bt_a2dp_stream, so the read runs into memory adjacent to the application's stream object. The same inconsistency is also handed to the config_req(), reconfig_req() and get_config_rsp() application callbacks, where a natural memcpy() of len bytes performs a further out-of-bounds read.

Reaching the on-air disclosure requires CONFIG_BT_CLASSIC with CONFIG_BT_A2DP, an AVDTP peer that has completed pairing (the AVDTP L2CAP channel requires BT_SECURITY_L2), and a local endpoint registered for a non-SBC codec — BT_A2DP_MPEG1/BT_A2DP_MPEG2/BT_A2DP_ATRAC/BT_A2DP_VENDOR via BT_A2DP_EP_INIT() — because the SBC branch already pins the IE length to 4 bytes. The bt_a2dp_get_config_cb() response path has no such gate and hands the lying length to any application. There is no out-of-bounds write: the net_buf tailroom check bounds the destination, so the impact is limited to disclosure of a bounded region of adjacent RAM to the peer.

The fix replaces the hardcoded BT_A2DP_MAX_IE_LENGTH with the configurable CONFIG_BT_A2DP_CODEC_MAX_IE_LEN (default 8, range 4–253), sizes codec_ie[] from it, and rejects any received IE that exceeds it instead of silently truncating, so len can no longer exceed the number of valid bytes.

>_ Słabości (CWE)

CWE-125

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve