Wysoki Odebrany

CVE-2026-19935

opublikowano: 11.10.2026, 20:16

modyfikacja: 11.10.2026, 20:16

Ocena CVSS

7.5

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Kolejki hosta Bluetooth LE odebrały dane kanału zorientowanego połączeniowo (CoC) L2CAP w celu odroczonego przetwarzania za pośrednictwem struktury k_work osadzonej w obiekcie kanału (le_chan->rx_work, procedura obsługi l2cap_rx_process()) za każdym razem, gdy kanał korzysta z dynamicznego PSM (0x0080-0x00FF). Porzucenie kanału w l2cap_chan_destroy() w subsys/bluetooth/host/l2cap.c anuluje przekroczenie limitu czasu retransmisji i wyczerpuje RX FIFO, ale nigdy nie anuluje rx_work. Ponieważ ten element pracy został przesłany do systemowej kolejki roboczej, podczas gdy przetwarzanie odbioru HCI działa w dedykowanej kolejce roboczej Bluetooth RX (CONFIG_BT_RECV_WORKQ_BT, ustawienie domyślne), umieszczony w kolejce element rx_work może przeżyć dłużej niż kanał, na który wskazuje.

Zdalny, nieuwierzytelniony partner z ustalonym kanałem CoC wyzwala to, wysyłając ramkę K danych, po której następuje żądanie rozłączenia L2CAP. Ramka K przesyła rx_work do systemowej kolejki roboczej; ponieważ oba wątki kolejki roboczej współpracują, a kolejka robocza Bluetooth RX działa z wyższym priorytetem (K_PRIO_COOP(CONFIG_BT_RX_PRIO) w porównaniu z CONFIG_SYSTEM_WORKQUEUE_PRIORITY), oczekujący element nie może zostać uruchomiony przed przetworzeniem następującego żądania rozłączenia w le_disconn_req() -> l2cap_chan_del() -> l2cap_chan_destroy(). Następnie stos wywołuje wywołanie zwrotne release(), co API dokumentuje jako oznaczające, że stos porzucił wszystkie odniesienia, a aplikacja może zwolnić pamięć kanału.

W związku z tym aplikacja zwalnia lub ponownie przyjmuje do obiektu, który systemowa kolejka robocza nadal utrzymuje na liście oczekujących. Jeśli pamięć zostanie zwolniona i ponownie przydzielona, kolejka robocza później wyrejestruje węzeł listy i wskaźnik funkcji obsługi odczytany z ponownie wykorzystanej pamięci; jeśli obiekt zostanie ponownie użyty w późniejszym połączeniu, funkcja l2cap_chan_add() wywołuje k_work_init() na elemencie pracy, który wciąż znajduje się w kolejce, uszkadzając listę oczekujących kolejki roboczej, w wyniku czego niepowiązane elementy pracy zostaną usunięte lub kolejka będzie się obracać w zapętlonej liście. Powiązany wariant pozwala l2cap_rx_process() działać jednocześnie z porzucaniem, ściganiem się z net_buf unref le_chan->_sdu i czyszczeniem chan->conn.

Poprawka kieruje pracę RX kanału do kolejki roboczej Bluetooth – w tym samym kontekście, w którym działa każda ścieżka rozrywania – i dodaje jawną k_work_cancel() le_chan->rx_work w l2cap_chan_destroy(), więc żadne odniesienie do kanału nie przetrwa wywołania zwrotnego release(). Nie ma to wpływu na konfiguracje bez CONFIG_BT_L2CAP_DYNAMIC_CHANNEL lub korzystające wyłącznie z PSM przypisanych do SIG (EATT 0x0027, OTS 0x0025), które korzystają z wbudowanej ścieżki odbiorczej.

The Bluetooth LE host queues received L2CAP connection-oriented channel (CoC) data for deferred processing through a struct k_work embedded in the channel object (le_chan->rx_work, handler l2cap_rx_process()) whenever the channel uses a dynamic PSM (0x0080-0x00FF). Channel teardown in l2cap_chan_destroy() in subsys/bluetooth/host/l2cap.c cancels the retransmission-timeout work and drains the RX FIFO, but never cancels rx_work. Because that work item was submitted to the system workqueue while HCI receive processing runs on the dedicated Bluetooth RX workqueue (CONFIG_BT_RECV_WORKQ_BT, the default), a queued rx_work item can outlive the channel it points into.

A remote, unauthenticated peer with an established CoC channel triggers this by sending a data K-frame immediately followed by an L2CAP Disconnect Request. The K-frame submits rx_work to the system workqueue; because both workqueue threads are cooperative and the Bluetooth RX workqueue runs at the higher priority (K_PRIO_COOP(CONFIG_BT_RX_PRIO) versus CONFIG_SYSTEM_WORKQUEUE_PRIORITY), the pending item cannot run before the following Disconnect Request is processed in le_disconn_req() -> l2cap_chan_del() -> l2cap_chan_destroy(). The stack then invokes the released() callback, which the API documents as meaning the stack has dropped all references and the application may free the channel memory.

The application therefore frees or re-accepts into an object that the system workqueue still holds in its pending list. If the memory is freed and reallocated, the workqueue later dereferences a list node and a handler function pointer read from reused memory; if the object is re-used for a later connection, l2cap_chan_add() calls k_work_init() on a still-enqueued work item, corrupting the workqueue's pending list so that unrelated work items are dropped or the queue spins on a looped list. A related variant lets l2cap_rx_process() run concurrently with teardown, racing the net_buf unref of le_chan->_sdu and the clearing of chan->conn.

The fix routes the channel RX work to the Bluetooth workqueue - the same context in which every teardown path runs - and adds an explicit k_work_cancel() of le_chan->rx_work in l2cap_chan_destroy(), so no reference to the channel survives the released() callback. Configurations without CONFIG_BT_L2CAP_DYNAMIC_CHANNEL, or that only use SIG-assigned PSMs (EATT 0x0027, OTS 0x0025) which take the inline receive path, are not affected.

>_ Słabości (CWE)

CWE-416

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve