Średni Oczekuje na analizę

CVE-2026-82389

opublikowano: 26.10.2026, 18:17

modyfikacja: 26.10.2026, 19:34

Ocena CVSS

6.5

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W roli Bluetooth Classic Hands-Free Profile Audio Gateway hfp_ag_create() w subsys/bluetooth/host/classic/hfp_ag.c rozpoczyna wykrywanie SDP w kierunku partnera, które łączy osadzony ag->sdp_param._node z listą oczekujących żądań klienta SDP w subsys/bluetooth/host/classic/sdp.c. Jeśli kolejne wywołanie bt_rfcomm_dlc_connect() nie powiedzie się, bt_hfp_ag_connect() wyczyści cały obiekt AG za pomocą memset(), gdy węzeł ten będzie nadal połączony i podczas gdy ag->slc_work może nadal znajdować się w kolejce systemowej kolejki roboczej. Wykrywania SDP w locie nie można anulować — bt_sdp_discover_cancel() jest zadeklarowana w nagłówku publicznym, ale nie ma implementacji — więc żądanie pozostaje na liście z wyzerowanymi wskaźnikami func,pool i uuid.

Kanał RFCOMM przekazany do bt_hfp_ag_connect() jest pobierany z własnego rekordu usługi głośnomówiącej SDP partnera w normalnym przepływie AG (bt_sdp_get_proto_param() nie sprawdza zasięgu, a próbki/bluetooth/classic/handsfree_ag podaje wartość bezpośrednio), więc zdalne urządzenie BR/EDR w zasięgu radiowym, które anonsuje kanał RFCOMM poza prawidłowym zakresem 0x01..0x1e deterministycznie wymusza niepowodzenie bt_rfcomm_dlc_connect() i osiągnięcie czyszczenia. Odczyt rekordu SDP partnera nie wymaga parowania, a partner może również wywołać awarię, usuwając listę ACL lub ścigając się z DLC RFCOMM na tym samym DLCI w odpowiednim momencie.

Kiedy klient SDP następnie przesuwa swoją listę żądań, sdp_client_discover() usuwa referencje zerowanych parametrów — net_buf_alloc(param->pool, …) z pulą NULL i param->uuid->type — a ścieżki powiadamiania o wynikach wywołują parametry NULL->func. Zerowanie połączonego węzła obcina również listę żądań za nieaktualnym wskaźnikiem końcowym, a ponowne uzbrojenie zwolnionego gniazda AG powoduje ponowne dołączenie tego samego węzła i może wygenerować samozapętloną listę, która zawiesza wątek Bluetooth RX. Skutkiem jest awaria lub zawieszenie stosu Bluetooth; zapisana wartość to stałe zero pod stałym adresem statycznym, więc nie jest dostępny zapis kontrolowany przez osobę atakującą.

Dotyczy to tylko kompilacji z CONFIG_BT_CLASSIC i CONFIG_BT_HFP_AG, które korzystają z roli bramy audio.

In the Bluetooth Classic Hands-Free Profile Audio Gateway role, hfp_ag_create() in subsys/bluetooth/host/classic/hfp_ag.c starts an SDP discovery toward the peer, which links the embedded ag->sdp_param._node into the SDP client's pending request list in subsys/bluetooth/host/classic/sdp.c. If the subsequent bt_rfcomm_dlc_connect() call fails, bt_hfp_ag_connect() cleaned up by memset()-ing the entire AG object while that node was still linked, and while ag->slc_work could still be queued on the system work queue. An in-flight SDP discovery cannot be cancelled — bt_sdp_discover_cancel() is declared in the public header but has no implementation — so the request stays in the list with its func, pool and uuid pointers zeroed.

The RFCOMM channel passed to bt_hfp_ag_connect() is taken from the peer's own SDP Hands-Free service record in the normal AG flow (bt_sdp_get_proto_param() performs no range validation, and samples/bluetooth/classic/handsfree_ag feeds the value straight through), so a remote BR/EDR device in radio range that advertises an RFCOMM channel outside the valid range 0x01..0x1e deterministically forces bt_rfcomm_dlc_connect() to fail and reach the wipe. Reading the peer's SDP record requires no pairing, and the peer can also trigger the failure by dropping the ACL or racing an RFCOMM DLC on the same DLCI at the right moment.

When the SDP client next advances its request list, sdp_client_discover() dereferences the zeroed parameters — net_buf_alloc(param->pool, …) with a NULL pool and param->uuid->type — and the result-notification paths call through the NULL params->func. Zeroing a linked node also truncates the request list behind a stale tail pointer, and re-arming the freed AG slot re-appends the same node and can produce a self-looping list that hangs the Bluetooth RX thread. The impact is a crash or hang of the Bluetooth stack; the written value is a constant zero at a fixed static address, so no attacker-controlled write is available.

Only builds with CONFIG_BT_CLASSIC and CONFIG_BT_HFP_AG that use the Audio Gateway role are affected.

>_ Słabości (CWE)

CWE-476

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve