Średni Oczekuje na analizę

CVE-2026-19940

opublikowano: 13.10.2026, 19:17

modyfikacja: 13.10.2026, 22:20

Ocena CVSS

6.5

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Implementacja klasycznej bramy audio z profilem głośnomówiącym Bluetooth w subsys/bluetooth/host/classic/hfp_ag.c utrzymuje obiekty struct bt_hfp_ag w statycznej puli indeksowanej według indeksu połączenia ACL. Po rozłączeniu łącza funkcja hfp_ag_disconnected() anuluje ag->tx_work i elementy robocze dotyczące poszczególnych połączeń, a następnie czyści ag->acl_conn, co oznacza pulę jako wolną — ale pozostawia ag->ongoing_call_work (i ag->slc_work) nietknięte. Następne połączenie, które wyląduje w tym samym slocie, rozpoczyna funkcję hfp_ag_create(), której jedynym testem zajętości jest ag->acl_conn, i natychmiast wykonuje memset(ag, 0, sizeof(struct bt_hfp_ag)), po którym następuje k_work_init_delayable(). Zerowanie i ponowne inicjowanie k_work_delayable, którego węzeł struct _timeout jest nadal połączony z listą limitów czasu jądra, pozostawia jądro trzymające odniesienie do węzła z łączami poprzedni/następny o wartości NULL.

ag->ongoing_call_work jest uzbrojony przez zdalnego partnera: kiedy jednostka głośnomówiąca wysyła AT+CIND? podczas ustanawiania połączenia na poziomie usług, a aplikacja zapewnia asynchroniczne wywołanie zwrotne get_ongoing_call, AG planuje pracę na CONFIG_BT_HFP_AG_GET_ONGOING_CALL_TIMEOUT milisekund (domyślnie 10000). Timer zostanie anulowany tylko wtedy, gdy aplikacja odpowie na czas za pomocą bt_hfp_ag_ongoing_calls(). Element równorzędny, który wysyła AT+CIND?, następnie odłącza DLC HFP RFCOMM, a następnie natychmiast otwiera go ponownie na tym samym łączu ACL, ponownie wykorzystuje tę samą szczelinę puli w sposób deterministyczny, dopóki nie upłynął limit czasu — serwer AG RFCOMM akceptuje ścieżkę (hfp_ag_accept()) wywołuje bezpośrednio hfp_ag_create(), więc strona zdalna steruje zarówno demontażem, jak i ponownym utworzeniem.

Rezultatem jest uszkodzenie listy limitów czasu jądra: sys_dlist_remove() na zerowanym węźle wykonuje zapisy przez wskaźniki NULL ze ścieżki ogłaszania zegara, a ponowne zaplanowanie ponownie zainicjowanej pracy powoduje ponowne wstawienie węzła, do którego lista już się odwołuje, tworząc cykl, w którym pętla ogłaszania przechodzi z zablokowanymi przerwaniami. Zauważalnym skutkiem jest awaria lub zawieszenie całego systemu, czyli odmowa usługi osiągalna z zasięgu radiowego Bluetooth; nie są zapisywane żadne dane kontrolowane przez osobę atakującą, więc samo w sobie nie powoduje to wykonania kodu. Ekspozycja jest ograniczona do kompilacji z CONFIG_BT_HFP_AG (domyślnie oznaczonych jako eksperymentalne i wyłączone), których aplikacja implementuje asynchroniczne wywołanie zwrotne get_ongoing_call.

The Bluetooth Classic Hands-Free Profile Audio Gateway implementation in subsys/bluetooth/host/classic/hfp_ag.c keeps its struct bt_hfp_ag objects in a static pool indexed by ACL connection index. On link teardown, hfp_ag_disconnected() cancels ag->tx_work and the per-call work items and then clears ag->acl_conn, which marks the pool slot as free — but it leaves ag->ongoing_call_work (and ag->slc_work) untouched. The next connection that lands on the same slot enters hfp_ag_create(), whose only occupancy test is ag->acl_conn, and immediately executes memset(ag, 0, sizeof(struct bt_hfp_ag)) followed by k_work_init_delayable(). Zeroing and re-initialising a k_work_delayable whose struct _timeout node is still linked into the kernel timeout list leaves the kernel holding a reference to a node with NULL prev/next links.

ag->ongoing_call_work is armed by the remote peer: when a Hands-Free unit sends AT+CIND? during Service Level Connection establishment and the application provides the asynchronous get_ongoing_call callback, the AG schedules the work for CONFIG_BT_HFP_AG_GET_ONGOING_CALL_TIMEOUT milliseconds (default 10000). The timer is cancelled only if the application answers in time via bt_hfp_ag_ongoing_calls(). A peer that sends AT+CIND?, then disconnects the HFP RFCOMM DLC, then immediately re-opens it on the same ACL link, reuses the same pool slot deterministically while the timeout is still pending — the AG's RFCOMM server accept path (hfp_ag_accept()) calls hfp_ag_create() directly, so the remote side drives both teardown and re-creation.

The result is corruption of the kernel's timeout list: sys_dlist_remove() on the zeroed node performs writes through NULL pointers from the clock-announce path, and rescheduling the re-initialised work re-inserts a node the list already references, creating a cycle that the announce loop walks with interrupts locked. The observable impact is a fault or hang of the whole system, i.e. a denial of service reachable from Bluetooth radio range; no attacker-controlled data is written, so this does not by itself yield code execution. Exposure is limited to builds with CONFIG_BT_HFP_AG (marked experimental and disabled by default) whose application implements the asynchronous get_ongoing_call callback.

>_ Słabości (CWE)

CWE-416

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve