Wysoki Odebrany

CVE-2026-19570

opublikowano: 09.10.2026, 10:16

modyfikacja: 09.10.2026, 20:17

Ocena CVSS

8.8

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

LE Audio Broadcast Sink w subsys/bluetooth/audio/bap_broadcast_sink.c kopiuje metadane podgrupy z odebranego podstawowego ogłoszenia audio (BASE) do statycznej struktury parametrów usługi Broadcast Audio Scan Service mod_src_param bez żadnej kontroli granic. W base_subgroup_meta_cb() element docelowy został wybrany jako mod_src_param.subgroups[mod_src_param.num_subgroups] bez testu względem ARRAY_SIZE(mod_src_param.subgroups) (o rozmiarze CONFIG_BT_BAP_BASS_MAX_SUBGROUPS, domyślnie 1), a metadane zostały skopiowane za pomocą memcpy() przy użyciu surowej długości nadawanego sygnału zwróconej przez bt_bap_base_get_subgroup_codec_meta() do tablicy metadanych o rozmiarze CONFIG_BT_AUDIO_CODEC_CFG_MAX_METADATA_SIZE (domyślnie 4). Walidator BASE bt_bap_base_get_base_from_ad() sprawdza tylko spójność strukturalną i dopuszcza do ~24 podgrup i wartości LTV metadanych wynoszące ~240 oktetów.

Wada występuje w wyniku okresowego wywołania zwrotnego odbierania reklam: pa_recv() → bt_data_parse() → pa_decode_base() → update_recv_state_base() → bt_bap_base_foreach_subgroup() → base_subgroup_meta_cb(). Każdy ujście rozgłoszeniowe rejestruje stan odbioru modułu delegującego skanowanie podczas tworzenia (bt_bap_broadcast_sink_create() wywołuje funkcję Broadcast_sink_add_src()), a CONFIG_BT_BAP_BROADCAST_SINK zależy od CONFIG_BT_BAP_SCAN_DELEGATOR, więc ścieżka jest aktywna w każdej kompilacji ujścia rozgłoszeniowego, gdy urządzenie jest okresowo synchronizowane z reklamami. Osoba atakująca w zasięgu radiowym, która obsługuje źródło transmisji, z którym urządzenie jest synchronizowane, lub która podszywa się pod adres reklamodawcy i identyfikator SID już używanego, przy okresowym braku uwierzytelnienia danych reklamowych, może dowolnie zmienić BASE; każda nowa BAZA jest ponownie analizowana.

Dlatego też spreparowana BASE zapisuje wybrane przez atakującego bajty poza końcem stałego obiektu statycznego w pliku .bss: do około 236 bajtów w przypadku zbyt dużego LTV metadanych plus całe rekordy bt_bap_bass_subgroup struktury dla każdej podgrupy poza CONFIG_BT_BAP_BASS_MAX_SUBGROUPS. Jest to uszkodzenie pamięci sąsiedniego stanu audio Bluetooth osiągalnego bez parowania, łączenia lub połączenia GATT, z możliwością zdalnego wykonania kodu w wątku Bluetooth RX; ponadto niezweryfikowany metadata_len jest przekazywany do bt_bap_scan_delegator_mod_src(), która go nie blokuje ani nie odrzuca, co prowadzi do dalszej kopii do stanu odbioru i ujawnienia pamięci poza granicami w powiadomieniu o stanie odbioru BASS wysłanym do podłączonego Asystenta Broadcast.

Poprawka odrzuca BASE przenoszącą więcej podgrup, niż może pomieścić stan odbioru (całkowicie odrzucając aktualizację) i pomija metadane, które nie pasują, zamiast je kopiować, a dodatkowo honoruje wcześniej ignorowany powrót błędu przejścia dekodowania podgrupy.

The LE Audio Broadcast Sink in subsys/bluetooth/audio/bap_broadcast_sink.c copies subgroup metadata from a received Basic Audio Announcement (BASE) into the static Broadcast Audio Scan Service parameter structure mod_src_param without any bounds check. In base_subgroup_meta_cb() the destination element was selected as mod_src_param.subgroups[mod_src_param.num_subgroups] with no test against ARRAY_SIZE(mod_src_param.subgroups) (sized by CONFIG_BT_BAP_BASS_MAX_SUBGROUPS, default 1), and the metadata was copied with memcpy() using the raw on-air length returned by bt_bap_base_get_subgroup_codec_meta() into a metadata array sized by CONFIG_BT_AUDIO_CODEC_CFG_MAX_METADATA_SIZE (default 4). The BASE validator bt_bap_base_get_base_from_ad() only checks structural consistency and permits up to ~24 subgroups and metadata LTVs of ~240 octets.

The defect is reached from the periodic advertising receive callback: pa_recv() → bt_data_parse() → pa_decode_base() → update_recv_state_base() → bt_bap_base_foreach_subgroup() → base_subgroup_meta_cb(). Every broadcast sink registers a scan-delegator receive state at creation (bt_bap_broadcast_sink_create() calls broadcast_sink_add_src()), and CONFIG_BT_BAP_BROADCAST_SINK depends on CONFIG_BT_BAP_SCAN_DELEGATOR, so the path is active in every broadcast-sink build once the device is periodic-advertising-synced. An attacker in radio range who operates a broadcast source the device syncs to — or who impersonates the advertiser address and SID of one already in use, periodic advertising data being unauthenticated — can change the BASE at will; each new BASE is re-parsed.

A crafted BASE therefore writes attacker-chosen bytes past the end of a fixed static object in .bss: up to roughly 236 bytes for an oversized metadata LTV, plus whole struct bt_bap_bass_subgroup records for each subgroup beyond CONFIG_BT_BAP_BASS_MAX_SUBGROUPS. This is memory corruption of adjacent Bluetooth-audio state reachable with no pairing, bonding or GATT connection, with a potential for remote code execution in the Bluetooth RX thread; in addition, the unvalidated metadata_len is forwarded to bt_bap_scan_delegator_mod_src(), which neither clamps it nor rejects it, leading to a further copy into the receive state and to out-of-bounds memory being disclosed in the BASS receive-state notification sent to a connected Broadcast Assistant.

The fix rejects a BASE carrying more subgroups than the receive state can hold (discarding the update entirely) and omits metadata that does not fit rather than copying it, and additionally honours the previously-ignored error return of the subgroup decode pass.

>_ Słabości (CWE)

CWE-120 CWE-787

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve