Średni Oczekuje na analizę

CVE-2026-82388

opublikowano: 26.10.2026, 18:17

modyfikacja: 26.10.2026, 19:34

Ocena CVSS

5.3

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Funkcja bt_hfp_hf_connect() w subsys/bluetooth/host/classic/hfp_hf.c przydziela obiekt HFP Hands-Free dla każdego połączenia za pomocą funkcji hfp_hf_create(), która rozpoczyna wykrywanie SDP poprzez przekazanie osadzonego obiektu hf->sdp_param do funkcji bt_sdp_discover(). To wywołanie łączy blok parametrów należący do wywołującego z listą żądań klienta SDP (sesja->reqs w subsys/bluetooth/host/classic/sdp.c). Jeśli późniejsza metoda bt_rfcomm_dlc_connect() nie powiedzie się, kod, którego to dotyczy, wyczyścił cały obiekt za pomocą (void)memset(new_hf, 0, sizeof(*new_hf)), podczas gdy wykrywanie było nadal nierozstrzygnięte, zerując węzeł sys_snode_t _node, który jest nadal połączony na liście klienta SDP wraz ze wskaźnikami func, uuid i puli żądania, oraz zerując element roboczy hf->slc_work, który może już znajdować się w kolejce systemowej kolejki roboczej. Zamiast tego nie można było wycofać odkrycia: funkcja bt_sdp_discover_cancel() jest zadeklarowana w pliku include/zephyr/bluetooth/classic/sdp.h, ale nie ma implementacji.

Uszkodzona gałąź jest osiągalna za pomocą danych wejściowych dostarczanych przez urządzenia równorzędne. Udokumentowane użycie bt_hfp_hf_connect() polega na przekazywaniu kanału RFCOMM odczytanego z rekordu SDP zdalnej bramki audio; ani funkcja bt_sdp_get_proto_param(), ani bt_hfp_hf_connect() nie sprawdzają tej wartości, więc zdalne urządzenie ogłaszające rekord HFP AG z kanałem RFCOMM poza 1-30 powoduje, że bt_rfcomm_dlc_connect() zwraca -EINVAL i uruchamia czyszczenie lokalnego urządzenia. Ta sama gałąź jest osiągana bez niewłaściwego użycia aplikacji, gdy zdalny element równorzędny kontroluje czas połączenia, na przykład gdy sesja RFCOMM jest w stanie BT_RFCOMM_STATE_DISCONNECTING lub lista ACL zostaje zrzucona pomiędzy utworzeniem obiektu a wywołaniem RFCOMM.

Po wyczyszczeniu obiektu host Bluetooth nadal go używa: sdp_client_alloc_buf() usuwa referencje session->param->pool, która ma teraz wartość NULL, a SDP odbiera ścieżki wywołując session->param->func() poprzez wskaźnik funkcji zerowej, przy czym żadna z nich nie jest sprawdzana z wartością NULL. Ponieważ czyszczenie powoduje również wyczyszczenie hf->acl, miejsce w puli jest uznawane za wolne, a ponowna próba lub przychodzące połączenie HFP powoduje ponowne dołączenie tego samego, wciąż połączonego węzła listy, zamieniając sesję->reqs w listę samoodwołującą się, której osoby przechadzające się po listach hosta nigdy nie opuszczają. Rezultatem jest błąd lub nieodwracalne zawieszenie wątku hosta Bluetooth; bezpańskie połączenie pośrednie odbywa się za pośrednictwem wskaźnika zerowego, którego celu atakujący nie kontroluje, więc praktycznym skutkiem jest odmowa usługi.

Poprawka utrzymuje przydzielony obiekt i oznacza go nową flagą BT_HFP_HF_FLAG_RELEASING, pozwalając bt_hfp_hf_discover_cb() zwolnić go po zakończeniu wykrywania, zamiast niszczyć go w kliencie SDP. Dotyczy to tylko kompilacji z włączonymi CONFIG_BT_CLASSIC i CONFIG_BT_HFP_HF.

bt_hfp_hf_connect() in subsys/bluetooth/host/classic/hfp_hf.c allocates the per-connection HFP Hands-Free object with hfp_hf_create(), which starts an SDP discovery by passing the object's embedded hf->sdp_param to bt_sdp_discover(). That call links the caller-owned parameter block into the SDP client's request list (session->reqs in subsys/bluetooth/host/classic/sdp.c). If the subsequent bt_rfcomm_dlc_connect() then failed, the affected code wiped the entire object with (void)memset(new_hf, 0, sizeof(*new_hf)) while that discovery was still outstanding, zeroing the sys_snode_t _node that is still linked in the SDP client's list along with the request's func, uuid and pool pointers, and zeroing the hf->slc_work work item that may already be queued on the system workqueue. The discovery could not be retracted instead: bt_sdp_discover_cancel() is declared in include/zephyr/bluetooth/classic/sdp.h but has no implementation.

The failing branch is reachable with peer-supplied input. The documented use of bt_hfp_hf_connect() is to pass the RFCOMM channel read out of the remote Audio Gateway's SDP record; neither bt_sdp_get_proto_param() nor bt_hfp_hf_connect() range-checks that value, so a remote device advertising an HFP AG record with an RFCOMM channel outside 1-30 makes bt_rfcomm_dlc_connect() return -EINVAL and drives the local device into the wipe. The same branch is reached without any application misuse when the remote peer controls connection timing, for example when the RFCOMM session is in BT_RFCOMM_STATE_DISCONNECTING or the ACL is dropped between object creation and the RFCOMM call.

Once the object has been wiped, the Bluetooth host continues to use it: sdp_client_alloc_buf() dereferences session->param->pool, which is now NULL, and the SDP receive paths call session->param->func() through a null function pointer, neither of which is NULL-checked. Because the wipe also clears hf->acl, the pool slot is considered free and a retry or an incoming HFP connection re-appends the same still-linked list node, turning session->reqs into a self-referential list that the host's list walkers never leave. The result is a fault or an unrecoverable hang in the Bluetooth host thread; the stray indirect call is through an all-zero pointer whose target the attacker does not control, so the practical impact is denial of service.

The fix keeps the object allocated and marks it with a new BT_HFP_HF_FLAG_RELEASING flag, letting bt_hfp_hf_discover_cb() release it once the discovery completes instead of destroying it under the SDP client. Only builds with CONFIG_BT_CLASSIC and CONFIG_BT_HFP_HF enabled are affected.

>_ Słabości (CWE)

CWE-416

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve