Średni Oczekuje na analizę

CVE-2026-85034

opublikowano: 03.11.2026, 15:17

modyfikacja: 03.11.2026, 15:17

Ocena CVSS

6.7

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:H/PR:L/UI:N/S:U/C:L/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Klient GATT hosta Bluetooth przekazał wartość odebranego powiadomienia o wartości uchwytu, wskazania wartości uchwytu lub powiadomienia o wielokrotnej wartości uchwytu do wywołań zwrotnych bt_gatt_subscribe_params::notify, używając wyłącznie długości pochodzącej z odebranej jednostki ATT PDU. bt_att_recv() w subsys/bluetooth/host/att.c sprawdza tylko minimalną długość PDU i nie wymusza wynegocjowanego MTU ATT, a stały kanał ATT L2CAP w subsys/bluetooth/host/l2cap.c również nie stosuje kontroli rx.mtu, więc jedynym pułapem był bufor ponownego montażu ACL CONFIG_BT_BUF_ACL_RX_SIZE. Wartości dłuższe niż maksymalna długość atrybutu wynosząca 512 oktetów zdefiniowana w specyfikacji rdzenia Bluetooth (tom 3, część F, sekcja 3.2.9) mogą zatem być przekazywane abonentom, którzy dopasowują swoje bufory do udokumentowanego limitu.

Zdalny partner, z którym urządzenie się połączyło i subskrybowało – złośliwy, sfałszowany lub przejęty serwer GATT w zasięgu radiowym – wyzwala lukę, wysyłając powiadomienie lub wskazanie, którego wartość przekracza 512 oktetów na subskrybowanym uchwycie. W kliencie LE Audio unicast osiąga to konkretny zapis poza granicami: unicast_client_ep_notify() w subsys/bluetooth/audio/bap_unicast_client.c kopiuje powiadomienie do 512-bajtowego att_buf struktury unicast_client za pomocą net_buf_simple_add_mem() i bez sprawdzania Tailroom, gdy długość jest równa bt_audio_get_max_ntf_size(), tj. wynegocjowany MTU ATT minus trzy. notify_handler() w subsys/bluetooth/audio/bap_broadcast_assistant.c ma ten sam kształt. Osiągnięcie przepełnienia wymaga kompilacji, której MTU ATT przekracza 515 oktetów (CONFIG_BT_L2CAP_TX_MTU i CONFIG_BT_BUF_ACL_RX_SIZE ustawione na obsługę atrybutów pełnej długości); dostarczone wartości domyślne są znacznie mniejsze.

Przepełnienie zapisuje bajty kontrolowane przez peery poza att_buf bezpośrednio nad sąsiednią strukturą net_buf_simple net_buf — jej polami danych, __buf, len i size — których późniejsza akumulacja o długim odczycie wykorzystuje następnie jako miejsce docelowe, zamieniając małe liniowe przepełnienie w kontrolowany zapis. net_buf_simple_add() sprawdza tylko w przypadku niewystarczającej ilości miejsca na końcu, chyba że włączona jest CONFIG_NET_BUF_HARDENING, a ta opcja jest domyślnie wyłączona, więc zwykłe kompilacje produkcyjne wykonują kopię. Poza klientami LE Audio znajdującymi się w drzewie, każdy abonent aplikacji, który dostosował swój bufor odbiorczy do limitu 512 oktetów określonego w specyfikacji, był narażony na to samo przepełnienie.

Poprawka odrzuca wartości powiadomień, wskazań i wielokrotnych powiadomień dłuższe niż BT_ATT_MAX_ATTRIBUTE_LEN w call_notify_cb_and_maybe_unsubscribe() w subsys/bluetooth/host/gatt.c przed wywołaniem jakiegokolwiek wywołania zwrotnego abonenta, więc żaden abonent nie może zostać przekazany więcej niż określone maksimum. Pozostałe krotki powiadomienia o wartościach wielu uchwytów są nadal dostarczane, a wskazania o zbyt dużych rozmiarach są nadal potwierdzane.

The Bluetooth host's GATT client passed the value of a received Handle Value Notification, Handle Value Indication or Multiple Handle Value Notification to bt_gatt_subscribe_params::notify callbacks using only the length derived from the received ATT PDU. bt_att_recv() in subsys/bluetooth/host/att.c validates only a minimum PDU length and does not enforce the negotiated ATT MTU, and the fixed ATT L2CAP channel in subsys/bluetooth/host/l2cap.c applies no rx.mtu check either, so the only ceiling was the ACL reassembly buffer CONFIG_BT_BUF_ACL_RX_SIZE. Values longer than the 512-octet maximum attribute length defined by the Bluetooth Core Specification (Vol 3, Part F, Section 3.2.9) could therefore be handed to subscribers that size their buffers to that documented limit.

A remote peer that a device has connected and subscribed to — a malicious, spoofed or compromised GATT server within radio range — triggers the flaw by sending a notification or indication whose value exceeds 512 octets on a subscribed handle. In the LE Audio unicast client this reaches a concrete out-of-bounds write: unicast_client_ep_notify() in subsys/bluetooth/audio/bap_unicast_client.c copies the notification into the 512-byte att_buf of struct unicast_client with net_buf_simple_add_mem() and no tailroom check whenever length equals bt_audio_get_max_ntf_size(), i.e. the negotiated ATT MTU minus three. notify_handler() in subsys/bluetooth/audio/bap_broadcast_assistant.c has the same shape. Reaching the overflow requires a build whose ATT MTU exceeds 515 octets (CONFIG_BT_L2CAP_TX_MTU and CONFIG_BT_BUF_ACL_RX_SIZE set for full-length attribute support); the shipped defaults are far smaller.

The overflow writes peer-controlled bytes past att_buf directly over the adjacent struct net_buf_simple net_buf — its data, __buf, len and size fields — which the subsequent long-read accumulation then uses as its destination, turning a small linear overflow into a controlled write. net_buf_simple_add() only asserts on insufficient tailroom unless CONFIG_NET_BUF_HARDENING is enabled, and that option is disabled by default, so ordinary production builds perform the copy. Beyond the in-tree LE Audio clients, any application subscriber that sized its receive buffer to the specification's 512-octet limit was exposed to the same overflow.

The fix rejects notification, indication and multiple-notification values longer than BT_ATT_MAX_ATTRIBUTE_LEN in call_notify_cb_and_maybe_unsubscribe() in subsys/bluetooth/host/gatt.c before any subscriber callback is invoked, so no subscriber can be handed more than the specified maximum. Remaining tuples of a multiple handle value notification are still delivered and oversized indications are still confirmed.

>_ Słabości (CWE)

CWE-787

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve