Średni Odebrany

CVE-2026-19739

opublikowano: 11.10.2026, 20:16

modyfikacja: 11.10.2026, 20:16

Ocena CVSS

6.5

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Kod procedury kontrolnej warstwy łącza Bluetooth w subsys/bluetooth/controller/ll_sw/ull_llcp_conn_upd.c zachowuje odebrany węzeł RX, podczas gdy procedura aktualizacji połączenia/parametru połączenia czeka na moment, aby węzeł mógł później przekazać powiadomienie hosta (llcp_rx_node_retain(), które oznacza NODE_RX_TYPE_RETAIN i w ten sposób powstrzymuje normalne przetwarzanie w ull.c). Domyślnie: ramię llcp_rp_cu_rx() i llcp_lp_cu_rx() — ścieżka „nieprawidłowa jednostka PDU, zakończ połączenie” — zakończyła procedurę bez zwalniania zachowanego węzła. Następnie llcp_rr_check_done() usunęła z kolejki i zwolniła kontekst procedury, przy czym ctx->node_ref.rx nadal wskazuje zachowany węzeł, usuwając do niego ostatnie odniesienie.

Urządzenie równorzędne w zasięgu radiowym może to osiągnąć bez parowania, łączenia lub szyfrowania. W stosunku do urządzenia peryferyjnego uczestnik wysyła dobrze sformułowany LL_CONNECTION_UPDATE_IND z kilkoma zdarzeniami połączenia w przyszłości (węzeł zostaje zachowany, a procedura wchodzi do RP_CU_STATE_WAIT_INSTANT), a następnie przed osiągnięciem chwili wysyła dowolną inną jednostkę sterującą LL Control PDU, taką jak LL_LENGTH_REQ. ull_cp_rx() kieruje tę jednostkę PDU do aktywnej procedury zdalnej aktualizacji połączenia, która przyjmuje ścieżkę nieprawidłowej jednostki PDU. Rola centralna jest osiągalna symetrycznie po zaakceptowaniu LL_CONNECTION_PARAM_REQ, a wariant procedury lokalnej jest osiągalny za pomocą LL_REJECT_IND.

Przy włączonej opcji CONFIG_BT_CTLR_ASSERT_DEBUG (domyślnie) wynikowy stan narusza niezmiennik określony w llcp_rr_check_done(), więc sekwencja dwóch PDU powoduje natychmiastowy błąd krytyczny w sterowniku. Po wyłączeniu tych asercji każde wystąpienie trwale traci jeden węzeł z małej, stałej puli RX kontrolera (rozmiar od CONFIG_BT_CTLR_RX_BUFFERS, wartość domyślna to 1); powtarzanie sekwencji podczas ponownych połączeń wyczerpuje pulę, po czym ścieżka odbiorcza warstwy łącza działa w węźle NULL. Skutkiem jest nieuwierzytelniona, zdalnie wyzwalana odmowa usługi utrzymująca się aż do ponownego uruchomienia; nie ma konsekwencji w postaci ujawnienia lub uszkodzenia pamięci, ponieważ węzeł, który wyciekł, staje się po prostu nieosiągalny.

The Bluetooth Link Layer control procedure code in subsys/bluetooth/controller/ll_sw/ull_llcp_conn_upd.c retains the received RX node while a Connection Update / Connection Parameter procedure waits for its instant, so the node can later carry the host notification (llcp_rx_node_retain(), which marks it NODE_RX_TYPE_RETAIN and thereby suppresses the normal recycling in ull.c). The default: arm of llcp_rp_cu_rx() and llcp_lp_cu_rx() — the "invalid PDU, terminate the connection" path — completed the procedure without releasing that retained node. llcp_rr_check_done() then dequeued and freed the procedure context with ctx->node_ref.rx still pointing at the retained node, dropping the last reference to it.

A peer device in radio range can reach this without pairing, bonding, or encryption. Against a peripheral, the peer sends a well-formed LL_CONNECTION_UPDATE_IND with an instant a few connection events in the future (the node is retained and the procedure enters RP_CU_STATE_WAIT_INSTANT), then, before the instant is reached, sends any other LL Control PDU such as LL_LENGTH_REQ. ull_cp_rx() routes that PDU into the active remote Connection Update procedure, which takes the invalid-PDU path. The central role is reachable symmetrically after accepting an LL_CONNECTION_PARAM_REQ, and the local-procedure variant is reachable with LL_REJECT_IND.

With CONFIG_BT_CTLR_ASSERT_DEBUG enabled (its default), the resulting state violates the invariant asserted in llcp_rr_check_done(), so the two-PDU sequence produces an immediate fatal error in the controller. With those asserts disabled, each occurrence permanently loses one node from the controller's small fixed RX pool (sized from CONFIG_BT_CTLR_RX_BUFFERS, which defaults to 1); repeating the sequence across reconnections exhausts the pool, after which the link-layer receive path operates on a NULL node. The impact is an unauthenticated, remotely triggerable denial of service persisting until reboot; there is no memory-disclosure or memory-corruption consequence, since the leaked node simply becomes unreachable.

>_ Słabości (CWE)

CWE-401 CWE-459 CWE-617 CWE-772

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve