Odebrany

CVE-2026-93209

opublikowano: 24.09.2026, 18:17

modyfikacja: 24.09.2026, 18:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

Bluetooth: hci_core: użyj skb_get() zamiast skb_clone() dla req_skb

Włączenie BT sporadycznie kończy się niepowodzeniem z -ETIMEDOUT (-110). Dziennik jądra
pokazuje, że wysłano polecenie HCI Read Local Version i oprogramowanie sprzętowe
odpowiedział ze statusem 0x00 (zalogowany przez hci_req_cmd_complete() BT_DBG),
ale kelner w __hci_cmd_sync_sk() nigdy się nie obudził i przekroczył limit czasu
po 10 s:

bluetooth hci0: Kod operacji 0xfc00 // __hci_cmd_sync_sk
bluetooth hci0: kod operacji 0xfc00 plen 1 // hci_cmd_sync_add
bluetooth hci0: skb len 4 // hci_cmd_sync_alloc
bluetooth hci0: długość 1 // hci_req_sync_run
Bluetooth: hci0 cmd_cnt 1 cmd w kolejce 1 // hci_cmd_work
Bluetooth: hci0 typ 1 len 4 // hci_send_frame
Bluetooth: opcode 0xfc00 status 0x00 // hci_req_cmd_complete
<-- req_skb NULL: req_complete_skb nie ustawiono,
hci_cmd_sync_complete() nigdy nie wywoływana,
req_status pozostaje HCI_REQ_PEND -->
<-- 10 s później: upłynie limit czasu oczekiwania_event_interruptible_timeout -->
bluetooth hci0: koniec: err -110 // __hci_cmd_sync_sk

Główną przyczyną jest to, że hci_send_cmd_sync() klonuje wysłane polecenie
do hdev->req_skb, aby funkcja hci_req_cmd_complete() mogła zlokalizować plik
zarejestrowane wywołanie zwrotne zakończenia. To pod presją pamięci
skb_clone() kończy się niepowodzeniem, pozostawiając hdev->req_skb NULL. Odpowiedź oprogramowania sprzętowego
jest odbierany i przetwarzany, ale funkcja hci_req_cmd_complete() znajduje wartość NULL
req_skb, więc funkcja hci_cmd_sync_complete() nigdy nie jest wywoływana, req_status
pozostaje HCI_REQ_PEND, a kelner przekracza limit czasu z -ETIMEDOUT.

req_skb służy tylko do odczytu wywołań zwrotnych bt_cb(skb)->hci i kodu operacji --
nigdy nie jest modyfikowany. Zamień skb_clone() na skb_get(), która
po prostu zwiększa liczbę odwołań hdev->sent_cmd bez
przydzielanie nowej pamięci i dlatego nie może zawieść.

Ten problem został po raz pierwszy zaobserwowany w przypadku użycia po zwolnieniu w funkcji ttyport_close()
gdy ttyport_open() nie powiodło się, co zostało zbadane we wcześniejszym artykule
seria łatek [1]. Dochodzenie to doprowadziło do odkrycia
prawdziwą przyczynę opisaną powyżej.

[1] https://lore.kernel.org/all/[email protected]/

In the Linux kernel, the following vulnerability has been resolved:

Bluetooth: hci_core: use skb_get() instead of skb_clone() for req_skb

BT enable fails intermittently with -ETIMEDOUT (-110). The kernel log
shows the HCI Read Local Version command was sent and the firmware
replied with status 0x00 (logged by hci_req_cmd_complete() BT_DBG),
but the waiter in __hci_cmd_sync_sk() never woke up and timed out
after 10 s:

bluetooth hci0: Opcode 0xfc00 // __hci_cmd_sync_sk
bluetooth hci0: opcode 0xfc00 plen 1 // hci_cmd_sync_add
bluetooth hci0: skb len 4 // hci_cmd_sync_alloc
bluetooth hci0: length 1 // hci_req_sync_run
Bluetooth: hci0 cmd_cnt 1 cmd queued 1 // hci_cmd_work
Bluetooth: hci0 type 1 len 4 // hci_send_frame
Bluetooth: opcode 0xfc00 status 0x00 // hci_req_cmd_complete
<-- req_skb NULL: req_complete_skb not set,
hci_cmd_sync_complete() never called,
req_status stays HCI_REQ_PEND -->
<-- 10 s later: wait_event_interruptible_timeout expires -->
bluetooth hci0: end: err -110 // __hci_cmd_sync_sk

The root cause is that hci_send_cmd_sync() clones the sent command
into hdev->req_skb so that hci_req_cmd_complete() can locate the
registered completion callback. Under memory pressure this
skb_clone() fails, leaving hdev->req_skb NULL. The firmware reply
is received and processed, but hci_req_cmd_complete() finds NULL
req_skb, so hci_cmd_sync_complete() is never called, req_status
stays HCI_REQ_PEND, and the waiter times out with -ETIMEDOUT.

req_skb is only used to read bt_cb(skb)->hci callbacks and opcode --
it is never modified. Replace skb_clone() with skb_get(), which
simply increments the reference count of hdev->sent_cmd without
allocating new memory and therefore cannot fail.

This issue was first observed as a use-after-free in ttyport_close()
when ttyport_open() failed, which was investigated in an earlier
patch series [1]. That investigation led to the discovery of the
true root cause described above.

[1] https://lore.kernel.org/all/[email protected]/

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve