Odebrany

CVE-2026-97975

opublikowano: 25.09.2026, 13:17

modyfikacja: 25.09.2026, 13:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

Bluetooth: hci_sysfs: Napraw dereferencję wskaźnika NULL w urządzeniu_del()

Dereferencja wskaźnika NULL w klist_put() ma miejsce, gdy urządzenie podrzędne (takie jak
jako urządzenie sieciowe BNEP w bnep_session) jest jednocześnie
niezarejestrowany, podczas gdy funkcja hci_conn_del_sysfs() przywraca urządzenia podrzędne.

Jest to spowodowane sytuacją wyścigu pomiędzy hci_conn_del_sysfs() i
jednoczesne wyrejestrowanie urządzenia podrzędnego (np. wywołanie bnep_session
wyrejestruj_netdev()). Podczas wyrejestrowywania urządzenia, migawki urządzenia_del().
wskaźnik nadrzędny inny niż NULL. Jednocześnie hci_conn_del_sysfs() znajduje plik
urządzenie podrzędne za pomocą urządzenia_find_any_child() i wywołuje urządzenie_move() do
przywróć mu wartość NULL, co usunie węzeł z listy klist jego rodzica
czyści knode_parent. Następnie wywołuje urządzenie_del().
klist_del(&dev->p->knode_parent) przy użyciu nieaktualnej migawki nadrzędnej, powodując
klist_put() do wyłuskania knode_klist(n)->umieszczenia na już usuniętym węźle,
co skutkuje wyłuskaniem wskaźnika NULL.

Wyścig ten został wprowadzony przez zatwierdzenie 27aabf27fd01 („Bluetooth: fix
use-after-free w urządzeniu_for_each_child()"), które zastąpiło
urządzenie_find_child(..., __match_tty) z urządzeniem_find_any_child() w
hci_conn_del_sysfs(). Zmiana ta miała na celu uniknięcie bezpłatnego wykorzystania
gdzie conn->dev przeżył swojego nadrzędnego hdev->dev, gdy urządzenia podrzędne były trzymane
odniesienia do conn->dev, ponieważ conn->dev zawierało tylko odniesienie do
hdev->dev podczas rejestracji w sysfs.

Popraw problem, odwołując się bezpośrednio do urządzenia nadrzędnego
z get_device(&hdev->dev) w hci_conn_init_sysfs() i upuść go za pomocą
put_device(parent) w bt_link_release(), gdy urządzenie połączeniowe zostanie zwolnione. To
zapewnia, że hdev->dev pozostaje ważny przez cały cykl życia conn->dev,
rozwiązanie problemu wykorzystania po zwolnieniu. Z zachowanym odwołaniem do elementu nadrzędnego
poprawnie, przywróć filtr __match_tty w hci_conn_del_sysfs() tak, aby
Device_move() jest wywoływana tylko na trwałych urządzeniach RFCOMM TTY jako
pierwotnie zamierzony, eliminując sytuację wyścigu związaną z wyrejestrowaniem
urządzenia sieciowe.

In the Linux kernel, the following vulnerability has been resolved:

Bluetooth: hci_sysfs: Fix NULL pointer dereference in device_del()

A NULL pointer dereference in klist_put() occurs when a child device (such
as a BNEP network device in bnep_session) is concurrently being
unregistered while hci_conn_del_sysfs() reparents child devices.

This is caused by a race condition between hci_conn_del_sysfs() and
concurrent child device unregistration (e.g. bnep_session calling
unregister_netdev()). During device unregistration, device_del() snapshots
a non-NULL parent pointer. Concurrently, hci_conn_del_sysfs() finds the
child device using device_find_any_child() and calls device_move() to
reparent it to NULL, which removes the node from its parent's klist and
clears knode_parent. Subsequently, device_del() calls
klist_del(&dev->p->knode_parent) using the stale parent snapshot, causing
klist_put() to dereference knode_klist(n)->put on an already removed node,
resulting in a NULL pointer dereference.

This race was introduced by commit 27aabf27fd01 ("Bluetooth: fix
use-after-free in device_for_each_child()"), which replaced
device_find_child(..., __match_tty) with device_find_any_child() in
hci_conn_del_sysfs(). That change was intended to avoid a use-after-free
where conn->dev outlived its parent hdev->dev when child devices held
references to conn->dev, because conn->dev only held a reference to
hdev->dev while registered in sysfs.

Fix the issue properly by taking an explicit reference to the parent device
with get_device(&hdev->dev) in hci_conn_init_sysfs() and dropping it with
put_device(parent) in bt_link_release() when the conn device is freed. This
ensures that hdev->dev remains valid for the entire lifecycle of conn->dev,
resolving the underlying use-after-free. With the parent reference held
properly, restore the __match_tty filter in hci_conn_del_sysfs() so that
device_move() is only invoked on persistent RFCOMM TTY devices as
originally intended, eliminating the race condition with unregistering
network devices.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve