Średni Oczekuje na analizę

CVE-2026-81039

opublikowano: 26.10.2026, 18:17

modyfikacja: 26.10.2026, 19:34

Ocena CVSS

4.3

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Host Bluetooth wstępnie przydziela obiekt bt_conn („rezerwacja”) ze stałej puli acl_conns[] dla każdego uruchamianego przez siebie zestawu reklam z możliwością podłączenia, w funkcji le_adv_start_add_conn() w subsys/bluetooth/host/adv.c. Po zakończeniu przychodzącego połączenia peryferyjnego funkcja find_pending_connect() w subsys/bluetooth/host/hci_core.c sprawdziła tę rezerwację, używając wyłącznie tożsamości i adresu równorzędnego, z rezerwacją skierowaną, a następnie niekierowaną, i nie miała wiedzy o tym, który zestaw reklam faktycznie został zakończony. W przypadku CONFIG_BT_EXT_ADV_MAX_ADV_SET > 1, gdzie zdarzenie LE Enhanced Connection Complete jest buforowane do czasu, aż zdarzenie LE Advertising Set Terminated zidentyfikuje zestaw, to wyszukiwanie może zwrócić rezerwację należącą do innego, wciąż działającego zestawu reklam.

Do wady można dotrzeć drogą powietrzną za pomocą dowolnego sąsiedniego urządzenia. Jeśli aplikacja uruchamia dwa możliwe do podłączenia rozszerzone zestawy reklamowe o tej samej tożsamości — jeden nieskierowany i jeden skierowany na równorzędny element P (typowy wzorzec „ukierunkowanego ponownego połączenia z połączoną centralą, jednocześnie akceptując nowe centrale”) — zdalny inicjator, którego adres jest mapowany na P łączące się w zestawie niekierowanym, powoduje zamiast tego wykorzystanie rezerwacji zestawu skierowanego. Adres inicjatora jest wybierany swobodnie przez urządzenie zdalne i nie jest uwierzytelniany podczas ustanawiania łącza, więc nie jest wymagane żadne wiązanie, parowanie ani wcześniejsza relacja, aby spowodować błędne przypisanie.

Własna rezerwacja nieskierowanego zestawu zostaje wówczas zablokowana: jego flaga BT_ADV_ENABLED została już wyczyszczona, a le_adv_stop_free_conn() — jedyna ścieżka zwracająca rezerwację do puli — jest osiągana tylko dla zestawów, które są nadal włączone, więc bt_le_ext_adv_stop() powraca wcześniej, a obiekt nigdy nie jest zwalniany. Każde wystąpienie trwale zajmuje jedno miejsce CONFIG_BT_MAX_CONN do czasu bt_disable() lub ponownego uruchomienia. We wzorcach aplikacji, które po każdym rozłączeniu ponownie uruchamiają zestaw reklam ukierunkowanych, osoba atakująca może powtarzać sekwencję aż do wyczerpania puli, po czym reklamowanie możliwe do połączenia kończy się niepowodzeniem z opcją -ENOMEM i urządzenie nie może już akceptować połączeń. Jako efekt uboczny zestaw kierowany wyświetla reklamy bez rezerwacji, więc prawdziwe połączenie z nim zostaje zerwane przez bt_hci_disconnect(). Wpływ dotyczy wyłącznie dostępności; nie ma to wpływu na uszkodzenie pamięci ani skutki ujawnienia informacji, a konfiguracje z pojedynczym zestawem reklam pozostają nienaruszone.

The Bluetooth host pre-allocates a bt_conn object (a "reservation") from the fixed acl_conns[] pool for every connectable advertising set it starts, in le_adv_start_add_conn() in subsys/bluetooth/host/adv.c. When an incoming peripheral connection completes, find_pending_connect() in subsys/bluetooth/host/hci_core.c looked that reservation up using only the identity and the peer address, with a directed-then-undirected fallback, and had no knowledge of which advertising set actually terminated. With CONFIG_BT_EXT_ADV_MAX_ADV_SET > 1, where the LE Enhanced Connection Complete event is cached until the LE Advertising Set Terminated event identifies the set, this lookup can return the reservation belonging to a different, still-running advertising set.

The defect is reachable over the air by any adjacent device. If an application runs two connectable extended advertising sets on the same identity — one undirected and one directed at a peer P (the common "directed reconnect to a bonded central while still accepting new centrals" pattern) — a remote initiator whose address maps to P connecting on the undirected set causes the directed set's reservation to be consumed instead. The initiator address is chosen freely by the remote device and is not authenticated at link establishment, so no bonding, pairing or prior relationship is required to trigger the mis-attribution.

The undirected set's own reservation is then stranded: its BT_ADV_ENABLED flag has already been cleared, and le_adv_stop_free_conn() — the only path that returns a reservation to the pool — is reached only for sets that are still enabled, so bt_le_ext_adv_stop() returns early and the object is never released. Each occurrence permanently consumes one CONFIG_BT_MAX_CONN slot until bt_disable() or reboot. In application patterns that restart the directed advertising set after each disconnect, an attacker can repeat the sequence until the pool is exhausted, after which connectable advertising fails with -ENOMEM and the device can no longer accept connections. As a side effect the directed set keeps advertising without a reservation, so a genuine connection on it is dropped by bt_hci_disconnect(). The impact is availability only; no memory corruption or information disclosure results, and configurations with a single advertising set are unaffected.

>_ Słabości (CWE)

CWE-772

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve