Odebrany

CVE-2026-98455

opublikowano: 18.10.2026, 18:16

modyfikacja: 19.10.2026, 12:18

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

Bluetooth: RFCOMM: napraw wyłuskiwanie NULL dla dlc->session w RFCOMM_CONNINFO

Procedura obsługi getsockopt RFCOMM_CONNINFO akceptuje gniazdo, które nie jest
podłączony, jeśli włączona jest konfiguracja odroczona:

if (sk->sk_state != BT_CONNECTED &&
!rfcomm_pi(sk)->dlc->defer_setup) {
błąd = -ENOTCONN;
przerwa;
}
l2cap_sk = rfcomm_pi(sk)->dlc->sesja->sock->sk;

dlc->defer_setup jest ustawione w rfcomm_sock_init(), gdy rfcomm_connect_ind()
tworzy gniazdo podrzędne dla połączenia przychodzącego na gnieździe nasłuchującym
który ma włączoną funkcję BT_DEFER_SETUP. Nigdy później nie jest to sprzątane. The
sesja może jednak zniknąć pod nią.

rfcomm_recv_disc() wymusza stan dlc przed jego zniszczeniem:

d->stan = BT_CLOSED;
__rfcomm_dlc_close(d, błąd);

Wcześniejszy powrót RFCOMM_DEFER_SETUP w __rfcomm_dlc_close() obejmuje tylko
BT_CONNECT, BT_CONFIG, BT_OPEN i BT_CONNECT2, czyli ze stanem
już BT_CLOSED ten przełącznik nie pasuje i funkcja spada
aż do rfcomm_dlc_unlink(), która ustawia d->session = NULL, while
d->defer_setup pozostaje 1.

Getockopt(SOL_RFCOMM, RFCOMM_CONNINFO) na zaakceptowanym gnieździe po
dlatego ten punkt pomija ścieżkę -ENOTCONN -- sk->sk_state is
BT_CLOSED, ale dlc->defer_setup jest nadal ustawiony - i dereferuje
Sesja NULL. Nie jest potrzebny żaden wyścig: po przetworzeniu DISC,
dereferencja jest bezwarunkowa.

Reprodukowane na jądrze KASAN pod QEMU z emulacją partnera BR/EDR
/dev/vhci: peer wywołuje łącze ACL, otwiera L2CAP na RFCOMM
PSM rozpoczyna sesję i wysyła SABM dla powiązanego kanału
BT_DEFER_SETUP i wysyła DISC dla tego dlci po otwarciu gniazda
zaakceptowane. getsockopt(SOL_RFCOMM, RFCOMM_CONNINFO) w przypadku zaakceptowania
gniazdo następnie uderza:

Ups: ogólny błąd ochrony, prawdopodobnie dla adresu niekanonicznego
0xdffffc0000000002: 0000 [#1] SMP KASAN PTI
KASAN: null-ptr-deref w zakresie [0x0000000000000010-0x0000000000000017]
Procesor: 1 UID: 0 PID: 150 Comm: init Tainted: G B 7.3.0-rc3-g5dd1818b15d9
Nazwa sprzętu: QEMU Standard PC (i440FX + PIIX, 1996)
RIP: 0010:rfcomm_sock_getsockopt+0x529/0x780
Zadzwoń do śledzenia:
<ZADANIE>
do_sock_getsockopt+0x3ad/0x7d0
__sys_getsockopt+0x10e/0x1b0
__x64_sys_getsockopt+0xc2/0x160
do_syscall_64+0xda/0x4b0
wpis_SYSCALL_64_after_hwframe+0x77/0x7f
</ZADANIE>

0x10 to przesunięcie skarpety w strukturze rfcomm_session;
Funkcja rfcomm_sock_getsockopt_old() jest wbudowana w funkcję rfcomm_sock_getsockopt().

Zatwierdź 43a556b2fd43 („Bluetooth: RFCOMM: weź rfcomm_mutex dla
odroczona akceptacja konfiguracji”) naprawiono ten sam błąd „zdalny dysk czyści sesję
podczas gdy odroczona konfiguracja jest nadal oflagowana” problem w rfcomm_dlc_accept();
jest to pozostała jego instancja w ścieżce getsockopt.

Odroczona konfiguracja pozostawia gniazdo nadające się do użytku dopiero po jego osiągnięciu
BT_CONNECT2, więc ogranicz wyjątek do tego stanu i sprawdź, czy a
sesja jest faktycznie obecna przed jej wykonaniem.

In the Linux kernel, the following vulnerability has been resolved:

Bluetooth: RFCOMM: fix NULL dereference of dlc->session in RFCOMM_CONNINFO

The RFCOMM_CONNINFO getsockopt handler accepts a socket that is not
connected as long as deferred setup is enabled:

if (sk->sk_state != BT_CONNECTED &&
!rfcomm_pi(sk)->dlc->defer_setup) {
err = -ENOTCONN;
break;
}
l2cap_sk = rfcomm_pi(sk)->dlc->session->sock->sk;

dlc->defer_setup is set in rfcomm_sock_init() when rfcomm_connect_ind()
creates a child socket for an incoming connection on a listening socket
that has BT_DEFER_SETUP enabled. It is never cleared afterwards. The
session, however, can go away underneath it.

rfcomm_recv_disc() forces the dlc state before tearing it down:

d->state = BT_CLOSED;
__rfcomm_dlc_close(d, err);

The RFCOMM_DEFER_SETUP early return in __rfcomm_dlc_close() only covers
BT_CONNECT, BT_CONFIG, BT_OPEN and BT_CONNECT2, so with the state
already BT_CLOSED that switch does not match and the function falls
through to rfcomm_dlc_unlink(), which sets d->session = NULL, while
d->defer_setup stays 1.

A getsockopt(SOL_RFCOMM, RFCOMM_CONNINFO) on the accepted socket after
that point therefore skips the -ENOTCONN path -- sk->sk_state is
BT_CLOSED, but dlc->defer_setup is still set -- and dereferences the
NULL session. No race is needed: once the DISC has been processed, the
dereference is unconditional.

Reproduced on a KASAN kernel under QEMU with a BR/EDR peer emulated over
/dev/vhci: the peer brings up an ACL link, opens L2CAP on the RFCOMM
PSM, starts a session and sends SABM for a channel bound with
BT_DEFER_SETUP, and sends DISC for that dlci after the socket has been
accepted. getsockopt(SOL_RFCOMM, RFCOMM_CONNINFO) on the accepted
socket then hits:

Oops: general protection fault, probably for non-canonical address
0xdffffc0000000002: 0000 [#1] SMP KASAN PTI
KASAN: null-ptr-deref in range [0x0000000000000010-0x0000000000000017]
CPU: 1 UID: 0 PID: 150 Comm: init Tainted: G B 7.3.0-rc3-g5dd1818b15d9
Hardware name: QEMU Standard PC (i440FX + PIIX, 1996)
RIP: 0010:rfcomm_sock_getsockopt+0x529/0x780
Call Trace:
<TASK>
do_sock_getsockopt+0x3ad/0x7d0
__sys_getsockopt+0x10e/0x1b0
__x64_sys_getsockopt+0xc2/0x160
do_syscall_64+0xda/0x4b0
entry_SYSCALL_64_after_hwframe+0x77/0x7f
</TASK>

0x10 is the offset of sock in struct rfcomm_session;
rfcomm_sock_getsockopt_old() is inlined into rfcomm_sock_getsockopt().

Commit 43a556b2fd43 ("Bluetooth: RFCOMM: take rfcomm_mutex for the
deferred setup accept") fixed the same "a remote DISC clears the session
while deferred setup is still flagged" problem in rfcomm_dlc_accept();
this is the remaining instance of it, in the getsockopt path.

Deferred setup only leaves a socket usable here once it has reached
BT_CONNECT2, so restrict the exception to that state and check that a
session is actually present before following it.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve