Średni Odebrany

CVE-2026-19738

opublikowano: 11.10.2026, 20:16

modyfikacja: 11.10.2026, 20:16

Ocena CVSS

6.5

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Implementacja procedury kontroli warstwy łącza Bluetooth (LLCP) do tworzenia połączonego strumienia izochronicznego (CIS) zachowuje węzeł RX (ctx->node_ref.rx, oznaczony NODE_RX_TYPE_RETAIN), dzięki czemu można go później ponownie wykorzystać jako powiadomienie hosta — na urządzeniu peryferyjnym w oczekiwaniu na odpowiedź hosta na LL_CIS_REQ oraz na urządzeniu centralnym przez cały czas trwania lokalnie inicjowanego tworzenia CIS. W subsys/bluetooth/controller/ll_sw/ull_llcp_cc.c ścieżki „odebrano nieprawidłowe PDU” funkcji llcp_rp_cc_rx() i llcp_lp_cc_rx() zakończyły połączenie i zakończyły procedurę bez zwalniania zachowanego węzła, przerywając niezmiennik sprawdzony w llcp_lr_check_done() i llcp_rr_check_done() i osierocenie pamięci węzła.

Urządzenie równorzędne w zasięgu radiowym może to osiągnąć za pomocą jednej dodatkowej jednostki PDU LL Control na nieuwierzytelnionym, nieszyfrowanym łączu ACL. W przypadku urządzenia peryferyjnego osoba atakująca wysyła prawidłowy LL_CIS_REQ, a następnie, przed odpowiedzią hosta, dowolną niepowiązaną jednostkę sterującą LL Control PDU (na przykład LL_VERSION_IND), która ull_cp_rx() kieruje do aktywnej procedury zdalnej. W przypadku centrali wykonującej tworzenie CIS, złośliwe urządzenie peryferyjne odpowiada komunikatem LL_UNKNOWN_RSP dla CIS_REQ, który jest wysyłany do aktywnej procedury lokalnej. Nie jest wymagane parowanie, szyfrowanie ani interakcja użytkownika; kod jest kompilowany, gdy włączone jest CONFIG_BT_CTLR_PERIPHERAL_ISO lub CONFIG_BT_CTLR_CENTRAL_ISO.

W kompilacjach domyślnych (CONFIG_BT_CTLR_ASSERT_DEBUG ma wartość domyślną y) asercja zachowanego węzła jest uruchamiana natychmiast, powodując błąd krytyczny kontrolera i zazwyczaj reset systemu z jednej wstrzykniętej jednostki PDU. Po wyłączeniu asercji programistycznych każda próba trwale powoduje utratę jednego węzła z małej puli powiadomień LL sterownika (LL_PDU_RX_CNT, 2 * CONFIG_BT_CTLR_LLCP_CONN) wraz z jego memq_link_t; powtarzanie cyklu połącz-atak-ponowne połączenie wyczerpuje pulę, po czym alokacja powiadomień zawsze kończy się niepowodzeniem, kontrola przepływu RX zatrzymuje się i niemożliwa do wyłączenia funkcja LL_ASSERT_ERR() w llcp_lp_cc_flush() jest błędna. Wpływ jest ograniczony do dostępności — węzeł, który wyciekł, zostaje osierocony, nigdy nie jest ponownie używany ani podwójnie uwalniany — a odzyskanie wymaga ponownego uruchomienia.

The Bluetooth Link Layer Control Procedure (LLCP) implementation for Connected Isochronous Stream (CIS) creation retains an RX node (ctx->node_ref.rx, marked NODE_RX_TYPE_RETAIN) so it can later be reused as the host notification — on the peripheral while awaiting the Host's reply to an LL_CIS_REQ, and on the central for the whole duration of a locally initiated CIS Create. In subsys/bluetooth/controller/ll_sw/ull_llcp_cc.c, the "invalid PDU received" paths of llcp_rp_cc_rx() and llcp_lp_cc_rx() terminated the connection and completed the procedure without releasing that retained node, breaking the invariant checked in llcp_lr_check_done() and llcp_rr_check_done() and orphaning the node's memory.

A peer device within radio range can reach this with a single extra LL Control PDU on an unauthenticated, unencrypted ACL link. Against a peripheral, the attacker sends a valid LL_CIS_REQ and then, before the Host replies, any unrelated LL Control PDU (for example LL_VERSION_IND), which ull_cp_rx() routes into the active remote procedure. Against a central performing a CIS Create, a malicious peripheral answers with LL_UNKNOWN_RSP for CIS_REQ, which is dispatched into the active local procedure. No pairing, encryption or user interaction is required; the code is compiled in when CONFIG_BT_CTLR_PERIPHERAL_ISO or CONFIG_BT_CTLR_CENTRAL_ISO is enabled.

In default builds (CONFIG_BT_CTLR_ASSERT_DEBUG is default y) the retained-node assertion fires immediately, producing a controller fatal error and, typically, a system reset from one injected PDU. With the development assertions disabled, each attempt permanently loses one node from the controller's small LL notification pool (LL_PDU_RX_CNT, 2 * CONFIG_BT_CTLR_LLCP_CONN) together with its memq_link_t; repeating the connect-attack-reconnect cycle exhausts the pool, after which notification allocation always fails, RX flow control stalls, and the non-disableable LL_ASSERT_ERR() in llcp_lp_cc_flush() faults. The impact is limited to availability — the leaked node is orphaned, never reused or double-freed — and recovery requires a reboot.

>_ Słabości (CWE)

CWE-401

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve