Średni Oczekuje na analizę

CVE-2026-85033

opublikowano: 03.11.2026, 15:17

modyfikacja: 03.11.2026, 15:17

Ocena CVSS

4.6

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:L

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Rola AVRCP Target w subsys/bluetooth/host/classic/avrcp.c utrzymuje zależny od dostawcy stan transmisji odpowiedzi w obiekcie połączenia wybranym przez indeks połączenia (get_avrcp_tg()), z kontekstem transferu (tid, send_len i flaga BT_AVRCP_TG_FLAG_TX_ONGOING) przechowywanymi w user_data odpowiedzi w kolejce net_buf. Funkcja obsługi rozłączania AVCTP avrcp_disconnected() nie anulowała tg->vd_rsp_tx_work i nie zwolniła buforów znajdujących się nadal w kolejce na tg->vd_rsp_tx_pending, więc spadek łącza w środku fragmentarycznej odpowiedzi pozostawił bufor na liście z wciąż ustawionym TX_ONGOING.

Zdalny kontroler AVRCP może to wywołać w sposób deterministyczny: wydaje polecenie zależne od dostawcy, którego odpowiedź przekracza jeden fragment AVRCP (na przykład GetElementAttributes lub GetCapabilities), pozwala funkcji bt_avrcp_tg_vendor_tx_work() wyemitować fragment START, a następnie usuwa łącze ACL zamiast wysyłać REQUEST_CONTINUING_RESPONSE. Kanał kontrolny AVCTP wymaga szyfrowanego łącza BR/EDR (BT_SECURITY_L2), zatem atakujący musi być sparowanym partnerem znajdującym się w zasięgu radiowym; nie jest wymagana żadna interakcja użytkownika.

Ponieważ obiekty docelowe są statyczne i ponownie wykorzystywane, następne połączenie lądujące w tym samym indeksie połączenia znajduje nieaktualny bufor na początku vd_rsp_tx_pending. Każde uruchomienie pracy TX powoduje wyświetlenie komunikatu TX_ONGOING i natychmiast jego powrót jest zwracany, więc wszystkie dalsze odpowiedzi zależne od dostawcy ustawiają się w kolejce za nieaktualną głowicą i nigdy nie są wysyłane — trwała utrata funkcji docelowej AVRCP, która nie jest usuwana po przekroczeniu limitu czasu i przywracany jest jedynie ponowny rozruch. Każdy cykl powoduje również wyciek jednego bufora odpowiedzi z płytkiej puli aplikacji, a nowy peer, który wysyła REQUEST_CONTINUING_RESPONSE, czyści nieaktualny TX_ONGOING poprzez bt_avrcp_tg_process_continuing_cmd(), powodując przesłanie do niego niewysłanej reszty odpowiedzi poprzedniego peera.

Poprawka anuluje tg->vd_rsp_tx_work i odrefuje każdy bufor na tg->vd_rsp_tx_pending w avrcp_disconnected(); ponieważ kontekst TX znajduje się w buforze user_data, zwolnienie buforów resetuje także maszynę stanu TX. Nie ma żadnego uszkodzenia pamięci: bufor przed poprawką wycieka wraz z aktywnym odniesieniem, więc nie pojawia się żadne użycie po zwolnieniu.

The AVRCP Target role in subsys/bluetooth/host/classic/avrcp.c keeps its vendor-dependent response transmit state in a per-connection object selected by connection index (get_avrcp_tg()), with the per-transfer context (tid, sent_len, and the BT_AVRCP_TG_FLAG_TX_ONGOING flag) stored in the user_data of the queued response net_buf. The AVCTP teardown handler avrcp_disconnected() did not cancel tg->vd_rsp_tx_work and did not release the buffers still queued on tg->vd_rsp_tx_pending, so a link drop in the middle of a fragmented response left the buffer on the list with TX_ONGOING still set.

A remote AVRCP Controller can trigger this deterministically: it issues a vendor-dependent command whose response exceeds one AVRCP fragment (for example GetElementAttributes or GetCapabilities), lets bt_avrcp_tg_vendor_tx_work() emit the START fragment, and then drops the ACL link instead of sending REQUEST_CONTINUING_RESPONSE. The AVCTP control channel requires an encrypted BR/EDR link (BT_SECURITY_L2), so the attacker must be a paired peer within radio range; no user interaction is needed.

Because the Target objects are static and reused, the next connection landing on the same connection index finds the stale buffer at the head of vd_rsp_tx_pending. Every run of the TX work sees TX_ONGOING and returns immediately, so all further vendor-dependent responses queue behind the stale head and are never sent — a persistent loss of AVRCP Target function that no timeout clears and only a reboot recovers. Each cycle also leaks one response buffer from a shallow application pool, and a new peer that sends REQUEST_CONTINUING_RESPONSE clears the stale TX_ONGOING via bt_avrcp_tg_process_continuing_cmd(), causing the un-sent remainder of the previous peer's response to be transmitted to it.

The fix cancels tg->vd_rsp_tx_work and unrefs every buffer on tg->vd_rsp_tx_pending in avrcp_disconnected(); since the TX context lives in the buffer user_data, releasing the buffers also resets the TX state machine. There is no memory corruption: the pre-fix buffer is leaked with a live reference, so no use-after-free arises.

>_ Słabości (CWE)

CWE-459

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve