Średni Odebrany

CVE-2026-19936

opublikowano: 13.10.2026, 02:17

modyfikacja: 13.10.2026, 18:53

Ocena CVSS

4.8

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Opóźniona kolejka komunikatów warstwy Bluetooth Mesh Access w subsys/bluetooth/mesh/delayable_msg.c dzieli trzy natrętne listy (busy_ctx, free_ctx, free_chunks) i jedną k_work_delayable między dwoma współpracującymi wątkami bez synchronizacji: bt_mesh_delayable_msg_manage() działa w wątku RX hosta Bluetooth, podczas gdy opóźnienia_msg_handler() działa w systemowej kolejce roboczej. Obydwa blokują, gdy listy są w stanie pośrednim — kolejka w bt_rand(), obie w bt_mesh_access_send() — co pozwala drugiemu kontekstowi obserwować stan rozdarty. opóźnieniaable_msg_handler() użyła wyniku sys_slist_get() na busy_ctx bez sprawdzenia NULL, a allocate_delayable_msg_ctx() przetestowała sys_slist_is_empty() i następnie założyła, że oddzielna sys_slist_get() zakończy się sukcesem.

Ponieważ CONFIG_BT_MESH_ACCESS_DELAYABLE_MSG i CONFIG_BT_MESH_ACCESS_DELAYABLE_MSG_CTX_ENABLED mają wartość domyślną y, każda odpowiedź modelu na odebraną wiadomość mesh jest parkowana w tej kolejce, więc kolejkowanie działa jako bezpośrednia konsekwencja ruchu przychodzącego. Element równorzędny, który może uzyskać komunikaty warstwy dostępu akceptowane przez model (musi posiadać klucz NetKey i powiązany klucz AppKey, a więc uprawniony lub zagrożony członek sieci), kontroluje częstotliwość nadejścia, rozmiar uzyskanych odpowiedzi i adres docelowy, a tym samym kontroluje zajętość 4-wejściowej puli kontekstów i 40-wejściowej puli fragmentów. Wyczerpanie puli fragmentów wymusza działanie funkcji bt_mesh_delayable_msg_manage() na ścieżce czyszczenia, co powoduje wysłanie i zwolnienie jedynego komunikatu w kolejce oraz pozostawienie busy_ctx puste, podczas gdy element roboczy z możliwością opóźnienia jest nadal uzbrojony; jeśli kolejka następnie ustąpi, procedura obsługi działa na pustej liście.

Rezultatem jest odczyt-modyfikacja-zapis poprzez wskaźnik oparty na wartości NULL (pending_msg->fired_time += 10) pod stałym niskim adresem w systemowym wątku kolejki roboczej. W przypadku typowych obiektów docelowych, w których występuje błąd, przerywanie wątku kolejki roboczej systemu — co zatrzymuje całą funkcjonalność sterowaną kolejką roboczą, w tym mechanizm taktowania siatki — lub resetowanie węzła, co skutkuje utratą dostępności węzła, którego dotyczy problem. Wartość zapisu i adres są stałe i nie ma mowy o długości ani indeksie kontrolowanym przez osobę atakującą, więc nie można ich wykorzystać do uszkodzenia pamięci lub wykonania kodu. To samo niezsynchronizowane okno umożliwiało również wybranie i zwolnienie jednego kontekstu wiadomości przez dwa konteksty jednocześnie, tworząc zduplikowane transmisje, zduplikowane wywołania zwrotne zakończenia wysyłania i skrzyżowaną własność fragmentów.

Poprawka serializuje każdą mutację listy za pomocą blokady k_spinlock, która nigdy nie jest wstrzymywana w wywołaniu blokującym, powoduje, że funkcja push_msg_from_delayable_msgs() odłącza nagłówek kolejki atomowo, tak aby wysyłana wiadomość nie znajdowała się na liście, usuwa niezaznaczoną funkcję sys_slist_get() z funkcji Delayable_msg_handler() i usuwa każdą wiadomość, która dotrze na początek kolejki, gdy stos jest zawieszony lub resetowany.

The Bluetooth Mesh Access-layer delayable message queue in subsys/bluetooth/mesh/delayable_msg.c shares three intrusive lists (busy_ctx, free_ctx, free_chunks) and one k_work_delayable between two cooperative threads with no synchronization: bt_mesh_delayable_msg_manage() runs on the Bluetooth host RX thread, while delayable_msg_handler() runs on the system workqueue. Both block while the lists are in an intermediate state — the enqueuer in bt_rand(), both in bt_mesh_access_send() — which lets the other context observe torn state. delayable_msg_handler() used the result of sys_slist_get() on busy_ctx without a NULL check, and allocate_delayable_msg_ctx() tested sys_slist_is_empty() and then assumed a separate sys_slist_get() would succeed.

Because CONFIG_BT_MESH_ACCESS_DELAYABLE_MSG and CONFIG_BT_MESH_ACCESS_DELAYABLE_MSG_CTX_ENABLED default to y, every model response to a received mesh message is parked on this queue, so the enqueuer runs as a direct consequence of inbound traffic. A peer that can get access-layer messages accepted by a model (it must hold the NetKey and a bound AppKey, so a legitimate or compromised network member) controls the arrival rate, the size of the elicited responses and the destination address, and thereby controls occupancy of the 4-entry context pool and the 40-entry chunk pool. Exhausting the chunk pool forces bt_mesh_delayable_msg_manage() down the purge path, which sends and releases the only queued message and leaves busy_ctx empty while the delayable work item is still armed; if the enqueuer then yields, the handler runs against the empty list.

The result is a read-modify-write through a NULL-based pointer (pending_msg->fired_time += 10) at a fixed low address on the system workqueue thread. On typical targets that faults, aborting the system workqueue thread — which stops all workqueue-driven functionality, including the mesh timing machinery — or resetting the node, so the impact is loss of availability of the affected node. The write value and address are fixed and no attacker-controlled length or index is involved, so this is not exploitable for memory corruption or code execution. The same unsynchronized window also allowed one message context to be selected and released by two contexts at once, producing duplicated transmissions, duplicated send-completion callbacks and crossed chunk ownership.

The fix serializes every list mutation with a k_spinlock that is never held across a blocking call, makes push_msg_from_delayable_msgs() detach the queue head atomically so a message being sent is on no list, removes the unchecked sys_slist_get() from delayable_msg_handler(), and drops any message that reaches the front of the queue while the stack is suspended or reset.

>_ Słabości (CWE)

CWE-362

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve