Średni Oczekuje na analizę

CVE-2026-19939

opublikowano: 13.10.2026, 19:17

modyfikacja: 13.10.2026, 22:20

Ocena CVSS

6.3

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Warstwa sygnalizacyjna AVDTP uzbraja 6-sekundowy limit czasu polecenia (AVDTP_TIMEOUT) w avdtp_send_cmd() za każdym razem, gdy urządzenie lokalne wysyła żądanie AVDTP. Każda procedura obsługi odpowiedzi w subsys/bluetooth/host/classic/avdtp.c anuluje session->timeout_work przed wyczyszczeniem oczekującego żądania, ale bt_avdtp_l2cap_disconnected() wyczyściła tylko sesję->req i pozostawiła opóźnioną pracę uzbrojoną. Sesja struktury bt_avdtp jest pierwszym elementem struktury bt_a2dp, której instancje znajdują się w statycznej tablicy połączeń, a funkcja a2dp_get_connection() w subsys/bluetooth/host/classic/a2dp.c czyści szczelinę za pomocą memset(), gdy tylko session->br_chan.chan.conn ma wartość NULL — co warstwa L2CAP organizuje natychmiast po rozłączeniu zwrotne.

Zdalny element równorzędny Bluetooth BR/EDR wyzwala ten stan, otwierając kanał sygnalizacyjny AVDTP, umożliwiając lokalnej aplikacji wykonanie procedury AVDTP (standardowy przepływ A2DP wysyła bt_a2dp_discover() z połączonego wywołania zwrotnego), a następnie przerywa kanał sygnalizacyjny bez odpowiedzi i otwierając go ponownie w pozostałym oknie limitu czasu. Ponowne połączenie osiąga a2dp_accept() → a2dp_get_connection(), co zeruje całą strukturę bt_a2dp, podczas gdy struktura _timeout elementu roboczego jest nadal połączona z globalną listą limitów czasu jądra. Zarówno moment rozłączenia, jak i ponownego połączenia są wybierane przez atakującego, więc żaden wyścig nie musi zostać wygrany; wymagane jest szyfrowane łącze BR/EDR i musi być włączone CONFIG_BT_A2DP (eksperymentalne).

Przy domyślnym backendie CONFIG_TIMEOUT_BACKEND_DLIST jądro decyduje, że limit czasu jest nieaktywny, sprawdzając, czy jego węzeł listy jest połączony, więc po wykonaniu memset() jądro traktuje węzeł, który nadal znajduje się na globalnej liście limitów czasu, jako wolny: ścieżka ogłaszania wyświetla węzeł, którego łącza i wskaźnik obsługi mają wartość NULL, a następna funkcja bt_work_reschedule() w odzyskanej sesji ponownie wstawia ten sam węzeł do listy, która już go zawiera. Konsekwencją jest uszkodzenie struktury danych pojedynczego jądra przy każdym liczniku czasu, przedziale czasowym i uśpieniu — zapisuje poprzez zerowane lub nieaktualne wskaźniki list i wysyłanie procedury obsługi NULL — powodując awarię lub zawieszenie całego systemu, a nie błąd ograniczony do sesji A2DP.

Poprawka anuluje session->timeout_work na górze bt_avdtp_l2cap_disconnected() i przenosi k_work_init_delayable() z avdtp_send_cmd() do ścieżek ustanawiania sesji bt_avdtp_connect() i bt_avdtp_l2cap_accept(), więc element pracy jest zawsze inicjowany przed uruchomieniem wywołania zwrotnego rozłączenia.

The AVDTP signalling layer arms a 6-second command timeout (AVDTP_TIMEOUT) in avdtp_send_cmd() whenever the local device issues an AVDTP request. Every response handler in subsys/bluetooth/host/classic/avdtp.c cancels session->timeout_work before clearing the pending request, but bt_avdtp_l2cap_disconnected() only cleared session->req and left the delayable work armed. The struct bt_avdtp session is the first member of struct bt_a2dp, whose instances live in a static per-connection array, and a2dp_get_connection() in subsys/bluetooth/host/classic/a2dp.c wipes a slot with memset() as soon as session->br_chan.chan.conn is NULL — which the L2CAP layer arranges immediately after the disconnect callback returns.

A remote Bluetooth BR/EDR peer triggers the condition by opening the AVDTP signalling channel, letting the local application issue an AVDTP procedure (the standard A2DP flow issues bt_a2dp_discover() from the connected callback), then tearing the signalling channel down without responding and re-opening it within the remaining timeout window. The reconnect reaches a2dp_accept() → a2dp_get_connection(), which zeroes the whole struct bt_a2dp while the work item's struct _timeout is still linked into the kernel's global timeout list. Both the disconnect and the reconnect instants are chosen by the attacker, so no race has to be won; an encrypted BR/EDR link is required, and CONFIG_BT_A2DP (experimental) must be enabled.

With the default CONFIG_TIMEOUT_BACKEND_DLIST backend the kernel decides a timeout is inactive by testing whether its list node is linked, so after the memset() the kernel treats a node that is still on the global timeout list as free: the announce path pops a node whose links and handler pointer are NULL, and the next bt_work_reschedule() on the recycled session re-inserts the same node into a list that already contains it. The consequence is corruption of the single kernel data structure every timer, timeslice and sleep depends on — writes through zeroed or stale list pointers and a NULL handler dispatch — producing a system-wide crash or hang rather than a fault confined to the A2DP session.

The fix cancels session->timeout_work at the top of bt_avdtp_l2cap_disconnected() and moves k_work_init_delayable() from avdtp_send_cmd() to the session-establishment paths bt_avdtp_connect() and bt_avdtp_l2cap_accept(), so the work item is always initialized before a disconnect callback can run.

>_ Słabości (CWE)

CWE-825

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve