Średni Odebrany

CVE-2026-19740

opublikowano: 11.10.2026, 20:16

modyfikacja: 11.10.2026, 20:16

Ocena CVSS

6.5

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Implementacja procedury kontroli warstwy łącza (LLCP) oprogramowania Zephyr Bluetooth LE Controller zachowuje węzeł odbiorczy, który przeniósł zaakceptowaną wiadomość LL_PHY_UPDATE_IND, dzięki czemu można go później ponownie wykorzystać do powiadomienia hosta, gdy nadejdzie moment aktualizacji (llcp_rx_node_retain() w subsys/bluetooth/controller/ll_sw/ull_llcp.c, a węzeł celowo nie jest odtwarzany po zaznaczeniu WĘZEŁ_RX_TYPE_RETAIN). Ramiona nieprawidłowych jednostek PDU funkcji llcp_lp_pu_rx() i llcp_rp_pu_rx() w subsys/bluetooth/controller/ll_sw/ull_llcp_phy.c zakończyły procedurę za pomocą llcp_lr_complete() / llcp_rr_complete() bez uprzedniego zwolnienia zachowanego węzła, więc kontekst procedury — jedyne pozostałe odniesienie do węzła — został zwolniony, gdy węzeł nadal znajdował się poza pulą odbiorczą.

Urządzenie równorzędne w ustanowionym połączeniu LE może sterować tym w sposób deterministyczny i bez parowania lub szyfrowania. W stosunku do urządzenia peryferyjnego wysyła LL_PHY_REQ, odbiera LL_PHY_RSP, wysyła ważny LL_PHY_UPDATE_IND z kilkoma zdarzeniami połączenia w przyszłości (tak, aby węzeł został zachowany), a następnie, przed osiągnięciem tej chwili, wysyła dowolną inną jednostkę sterującą LL Control PDU, taką jak LL_LENGTH_REQ; ull_cp_rx() kieruje go do aktywnej procedury zdalnej aktualizacji PHY, która przyjmuje ścieżkę nieprawidłowej jednostki PDU. Przypadek lustrzany dotyczy lokalnie inicjowanej aktualizacji PHY, po której następuje LL_REJECT_IND.

W konfiguracji domyślnej (oba CONFIG_BT_ASSERT i CONFIG_BT_CTLR_ASSERT_DEBUG domyślnie y) naruszony niezmiennik w llcp_lr_check_done() / llcp_rr_check_done() wyzwala asercję kontrolera, kończącą się na k_oops() (lub k_panic()) — pojedyncza spreparowana sekwencja PDU z zasięgu radiowego powoduje uszkodzenie urządzenia. Po skompilowaniu tych twierdzeń, przy każdej próbie następuje cichy wyciek jednego węzła odbiorczego PDU i jego łącza memq; ponieważ pula odbiorcza kontrolera jest mała (PDU_RX_CNT, sterowana przez CONFIG_BT_CTLR_RX_BUFFERS, wartość domyślna wynosi 1), a każda próba kosztuje atakującego tylko ponowne połączenie, kilka powtórzeń wyczerpuje pulę i sprawia, że Bluetooth nie działa do czasu ponownego uruchomienia. W wersjach od 3.4.0 do 3.7.x asercja nigdy nie jest osiągana, niezależnie od konfiguracji, więc każda próba wycieka po cichu.

Wpływ jest ograniczony do dostępności: osierocony węzeł nie pozostawia żadnego wiszącego wskaźnika, który jest później wyłuskiwany i nigdy nie jest dostarczany do hosta, więc nie dochodzi do uszkodzenia pamięci ani ujawnienia informacji. To samo żądanie ściągnięcia dotyczy identycznej wersji procedur aktualizacji połączenia i tworzenia CIS, których ramiona nieprawidłowych PDU zawierały to samo pominięcie.

The Link Layer Control Procedure (LLCP) implementation of the Zephyr software Bluetooth LE Controller retains the receive node that carried an accepted LL_PHY_UPDATE_IND so that it can later be reused for the host notification when the update instant is reached (llcp_rx_node_retain() in subsys/bluetooth/controller/ll_sw/ull_llcp.c, and the node is deliberately not recycled while marked NODE_RX_TYPE_RETAIN). The invalid-PDU arms of llcp_lp_pu_rx() and llcp_rp_pu_rx() in subsys/bluetooth/controller/ll_sw/ull_llcp_phy.c completed the procedure via llcp_lr_complete() / llcp_rr_complete() without first releasing that retained node, so the procedure context — the only remaining reference to the node — was freed while the node was still held out of the receive pool.

A peer device on an established LE connection can drive this deterministically and without pairing or encryption. Against a peripheral it sends LL_PHY_REQ, receives LL_PHY_RSP, sends a valid LL_PHY_UPDATE_IND with an instant a few connection events in the future (so the node becomes retained), and then, before the instant is reached, sends any other LL Control PDU such as LL_LENGTH_REQ; ull_cp_rx() routes it to the active remote PHY Update procedure, which takes the invalid-PDU path. The mirror case applies to a locally initiated PHY Update followed by an LL_REJECT_IND.

In the default configuration (CONFIG_BT_ASSERT and CONFIG_BT_CTLR_ASSERT_DEBUG both default y) the violated invariant in llcp_lr_check_done() / llcp_rr_check_done() triggers a controller assertion, ending in k_oops() (or k_panic()) — a single crafted PDU sequence from radio range faults the device. With those assertions compiled out, each attempt silently leaks one receive PDU node and its memq link; because the controller receive pool is small (PDU_RX_CNT, driven by CONFIG_BT_CTLR_RX_BUFFERS, which defaults to 1) and each attempt costs the attacker only a reconnect, a few repetitions exhaust the pool and leave Bluetooth inoperable until reboot. On releases v3.4.0 through v3.7.x the assertion is never reached, whatever the configuration, so every attempt leaks silently.

The impact is limited to availability: the orphaned node leaves no dangling pointer that is later dereferenced and is never delivered to the host, so there is no memory corruption or information disclosure. The same pull request applies the identical release to the Connection Update and CIS-create procedures, whose invalid-PDU arms had the same omission.

>_ Słabości (CWE)

CWE-401 CWE-459 CWE-617 CWE-772

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve