Wysoki Oczekuje na analizę

CVE-2026-87040

opublikowano: 04.11.2026, 07:17

modyfikacja: 04.11.2026, 07:17

Ocena CVSS

8.3

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Ścieżki odbiorcze warstwy łącza nRF kontrolera Bluetooth LE typu open source nie zweryfikowały pola LENGTH na antenie odebranej jednostki PDU w porównaniu z maksymalną długością odbioru użytą do zaprogramowania radia. Funkcja isr_rx_pdu() w subsys/bluetooth/controller/ll_sw/nordic/lll/lll_conn.c umieściła w kolejce wszelkie niepuste dane PDU tylko po sprawdzeniu numeru sekwencyjnego i (w przypadku łączy szyfrowanych) MIC oraz odpowiednich procedur obsługi isr_rx() w lll_central_iso.c, lll_peripheral_iso.c, lll_sync_iso.c i lll_scan_aux.c zrobiły to samo dla jednostek PDU ISO i rozszerzonych reklam. Radio nRF przechowuje odebrany nagłówek dosłownie i obcina tylko ładunek w PCNF1.MAXLEN, więc ramka deklarująca więcej oktetów niż została skonfigurowana, opuszcza bufor węzła, którego pole len opisuje więcej danych, niż bufor mieści.

Osoba atakująca w zasięgu radiowym, która może wyemitować ręcznie wykonaną jednostkę PDU warstwy łącza — w przypadku połączenia dowolny element równorzędny, który ustanawia niezaszyfrowane połączenie LE z możliwym do połączenia reklamodawcą; dla CONFIG_BT_CTLR_SYNC_ISO, dowolny nadawca, z którym urządzenie jest zsynchronizowane — może ustawić bajt długości do 255, podczas gdy kontroler zaprogramował znacznie mniejsze maksimum (lll->dle.eff.max_rx_octets, czyli 27 do aktualizacji długości danych, lub wynegocjowany cis_lll->rx.max_pdu). Nie jest wymagane parowanie, uwierzytelnianie ani interakcja użytkownika. W przypadku łączy zaszyfrowanych kontrola CCM MIC zwykle najpierw odrzuca taką ramkę, zatem narażenie dotyczy ruchu nieszyfrowanego, dlatego też dodatkowa kontrola jest przeprowadzana po odszyfrowaniu.

Niesprawdzona długość osiąga funkcję hci_acl_encode() w subsys/bluetooth/controller/hci/hci.c, która wykonuje funkcję net_buf_add(buf, pdu_data->len), po której następuje memcpy() o określonej liczbie bajtów z elementu puli node_rx. Ponieważ wartości CONFIG_BT_CTLR_DATA_LENGTH_MAX i CONFIG_BT_BUF_ACL_RX_SIZE mają wartość domyślną 27, jest to odczyt poza granicami do około 228 bajtów poza odebraną jednostką PDU i odpowiadający zapis poza granicami poza buforem HCI ACL do sąsiednich buforów tej samej puli; test tylnego pomieszczenia w net_buf_simple_add() jest wymuszany tylko wtedy, gdy włączone jest CONFIG_NET_BUF_HARDENING (lub CONFIG_ASSERT). Na ścieżkach ISO ta sama niesprawdzona długość powoduje, że isoal_rx_append_to_sdu() odczytuje poza bufor węzła ISO i emituje pamięć RAM sąsiedniego kontrolera do hosta jako dane ISO. Praktycznym skutkiem jest zdalne uszkodzenie pamięci i awaria kontrolera, a także ujawnienie pamięci kontrolera w ścieżce danych hosta.

Poprawka odrzuca wszelkie odebrane PDU, których długość przekracza wartość użytą do skonfigurowania odbioru radiowego. Należy zauważyć, że lll_sync.c (okresowy odbiór synchronizacji reklamowej) nie został zmieniony i nadal umieszcza w kolejce odebrane jednostki PDU bez równoważnego ograniczenia.

The nRF link-layer receive paths of the open-source Bluetooth LE Controller did not validate the on-air LENGTH field of a received PDU against the maximum receive length that was used to program the radio. isr_rx_pdu() in subsys/bluetooth/controller/ll_sw/nordic/lll/lll_conn.c enqueued any non-empty data PDU after only the sequence-number and (for encrypted links) MIC checks, and the corresponding isr_rx() handlers in lll_central_iso.c, lll_peripheral_iso.c, lll_sync_iso.c and lll_scan_aux.c did the same for ISO and extended-advertising PDUs. The nRF radio stores the received header verbatim and truncates only the payload at PCNF1.MAXLEN, so a frame declaring more octets than were configured leaves a node buffer whose len field describes more data than the buffer holds.

An attacker within radio range that can emit a hand-crafted link-layer PDU — for a connection, any peer that establishes an unencrypted LE connection to a connectable advertiser; for CONFIG_BT_CTLR_SYNC_ISO, any broadcaster the device is synchronised to — can set the length byte up to 255 while the controller has programmed a much smaller maximum (lll->dle.eff.max_rx_octets, which is 27 until a Data Length Update, or the negotiated cis_lll->rx.max_pdu). No pairing, authentication or user interaction is required. On encrypted links the CCM MIC check normally rejects such a frame first, so the exposure is on unencrypted traffic, which is why the added check is placed after decryption.

The unchecked length reaches hci_acl_encode() in subsys/bluetooth/controller/hci/hci.c, which performs net_buf_add(buf, pdu_data->len) followed by a memcpy() of that many bytes out of the node_rx pool element. Because CONFIG_BT_CTLR_DATA_LENGTH_MAX and CONFIG_BT_BUF_ACL_RX_SIZE both default to 27, this is an out-of-bounds read of up to roughly 228 bytes past the received PDU and a corresponding out-of-bounds write past the HCI ACL buffer into neighbouring buffers of the same pool; the tailroom test in net_buf_simple_add() is only enforced when CONFIG_NET_BUF_HARDENING (or CONFIG_ASSERT) is enabled. On the ISO paths the same unchecked length makes isoal_rx_append_to_sdu() read past the ISO node buffer and emit adjacent controller RAM to the host as ISO data. The practical result is remote memory corruption and controller crashes, plus disclosure of controller memory into the host data path.

The fix rejects any received PDU whose length exceeds the value that was used to configure the radio reception. Note that lll_sync.c (periodic advertising sync reception) was not changed and still enqueues received PDUs without an equivalent bound.

>_ Słabości (CWE)

CWE-120 CWE-787

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve