Średni Odebrany

CVE-2026-78117

opublikowano: 21.10.2026, 21:17

modyfikacja: 21.10.2026, 21:17

Ocena CVSS

4.2

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Sterownik Infineon PSOC 6 BLESS HCI w sterownikach/bluetooth/hci/hci_infineon_psoc6_bless.c zapisał wychodzący deskryptor pakietu HCI w zmiennej o zasięgu pliku, statycznej cy_stc_ble_hci_tx_packet_info_t hci_tx_pkt. psoc6_bless_send() wyczyściła i wypełniła pola typu packageType, dataLength i danych tego deskryptora przed pobraniem psoc6_bless_operative_sem, więc semafor serializujący sterownika chronił tylko wywołanie Cy_BLE_SoftHciSendAppPkt(), a nie współdzielony stan, który odczytuje to wywołanie.

Host Bluetooth nie gwarantuje pojedynczego nadawcy HCI. Większość transmisji jest kierowana przez kolejkę roboczą współpracującego procesora TX, ale bt_hci_cmd_send() celowo omija bt_dev.cmd_tx_queue dla BT_HCI_OP_HOST_NUM_COMPLETED_PACKETS i wywołuje bt_send() bezpośrednio z wątku wywołującego; tym wywołującym jest bt_hci_host_num_completed_packets(), wywołanie zwrotne niszczące acl_in_pool, które działa w dowolnym wątku, który usuwa ostatnie odwołanie do odebranego bufora ACL. CONFIG_BT_HCI_ACL_FLOW_Control domyślnie ma wartość y na płytach tego sterownika, a aplikacja, która zwraca -EINPROGRESS z wywołania zwrotnego L2CAP recv i później wywołuje bt_l2cap_chan_recv_complete() wykonuje to odwołanie z własnego wątku, który można wywłaszczyć. Zdalny peer, który generuje ruch Bluetooth jednocześnie z własnymi transmisjami urządzenia, zwiększa współczynnik kolizji.

Kiedy dwóch nadawców dokonuje przeplatania, posiadacz semafora może przekazać kontrolerowi deskryptor, którego dataLength pochodzi z jednego net_buf i którego wskaźnik danych pochodzi z innego — lub taki, którego bufor został już zwrócony do jego puli. Następnie kontroler kopiuje i przesyła aż do pełnego ładunku HCI/ACL, zaczynając od krótszego lub odzyskanego bufora, ujawniając zawartość sąsiedniej pamięci RAM podłączonemu partnerowi; inne przeploty duplikują jeden pakiet HCI i cicho odrzucają inny, zakłócając łącze. Sterownik odczytuje jedynie udostępniony deskryptor, więc nie dochodzi do uszkodzenia pamięci ani zapisu pierwotnych wyników, a ujawnione bajty nie są wybierane przez atakującego. Poprawka sprawia, że deskryptor staje się zmienną lokalną w psoc6_bless_send(), usuwając stan współdzielony; Cy_BLE_SoftHciSendAppPkt() kopiuje pakiet przed zwróceniem, więc nie musi on przetrwać wywołania.

The Infineon PSOC 6 BLESS HCI driver in drivers/bluetooth/hci/hci_infineon_psoc6_bless.c stored the outgoing HCI packet descriptor in a file-scope variable, static cy_stc_ble_hci_tx_packet_info_t hci_tx_pkt. psoc6_bless_send() cleared and populated that descriptor's packetType, dataLength and data fields before acquiring psoc6_bless_operation_sem, so the driver's serialising semaphore protected only the call into Cy_BLE_SoftHciSendAppPkt() and not the shared state that call reads.

The Bluetooth host does not guarantee a single HCI sender. Most transmissions are funnelled through the cooperative TX-processor work queue, but bt_hci_cmd_send() deliberately bypasses bt_dev.cmd_tx_queue for BT_HCI_OP_HOST_NUM_COMPLETED_PACKETS and calls bt_send() directly from the caller's thread; that caller is bt_hci_host_num_completed_packets(), the acl_in_pool destroy callback, which runs on whichever thread drops the last reference to a received ACL buffer. CONFIG_BT_HCI_ACL_FLOW_CONTROL defaults to y on this driver's boards, and an application that returns -EINPROGRESS from its L2CAP recv callback and later calls bt_l2cap_chan_recv_complete() performs that unref from its own preemptible thread. A remote peer that generates Bluetooth traffic concurrently with the device's own transmissions raises the collision rate.

When two senders interleave, the semaphore holder can hand the controller a descriptor whose dataLength comes from one net_buf and whose data pointer comes from another — or one whose buffer has already been returned to its pool. The controller then copies and transmits up to a full HCI/ACL payload starting at a shorter or recycled buffer, disclosing adjacent RAM contents to the connected peer; other interleavings duplicate one HCI packet and silently drop another, disrupting the link. The driver only reads through the shared descriptor, so no memory corruption or write primitive results, and the disclosed bytes are not attacker-chosen. The fix makes the descriptor a local variable in psoc6_bless_send(), removing the shared state; Cy_BLE_SoftHciSendAppPkt() copies the packet before returning, so it need not outlive the call.

>_ Słabości (CWE)

CWE-362

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve