Odebrany

CVE-2026-98736

opublikowano: 18.10.2026, 18:17

modyfikacja: 19.10.2026, 12:19

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

Bluetooth: hci_conn: Zablokuj dostęp rodziców podczas rozszerzonej konfiguracji SCO

Bluetooth: hci_conn: Zablokuj dostęp rodziców podczas rozszerzonej konfiguracji SCO

hci_enhanced_setup_sync() działa w kolejce roboczej żądań bez
hci_dev_lock przechowywany przez obiekt wywołujący, gdy instalacja została umieszczona w kolejce. To CVSD
sprawdzenie możliwości i wyłuskanie połączenia find_next_esco_param()->parent
podczas gdy kolejka odbiorcza może odłączyć i zwolnić tego rodzica.

Poniższe przeplatanie może spowodować użycie po zwolnieniu:

hci_enhanced_setup_sync() hci_disconn_complete_evt()
załaduj połączenie->rodzic
hci_dev_lock()
hci_conn_del(nadrzędny ACL)
odłącz dziecko SCO
upuść odnośnik nadrzędny łącza
wyczyść dziecko->rodzic
zwolnij rodzica ACL
bt_link_release()
kfree(rodzic)
hci_dev_unlock()
przeczytaj element nadrzędny->funkcje[0][3]

Odwołanie przechowywane dla umieszczonego w kolejce elementu podrzędnego SCO nie zachowuje jego elementu nadrzędnego listy ACL
żyje po odłączeniu. Zatwierdź 42de40abe25d („Bluetooth: hci_conn: napraw plik
Czas życia kontekstu konfiguracji SCO”) chroni element podrzędny przechowywany w kolejce
kontekście, ale pozostawia te dostępy nadrzędne bez ochrony.

Z opóźnieniem diagnostycznym 40 ms po załadowaniu conn->parent, plik instrumented
jądro oparte na fd179f8a05be, które zawiera już 42de40abe25d,

BŁĄD: KASAN: użycie płyty po zwolnieniu w hci_enhanced_setup_sync+0xda5/0xdf0
Odczytaj rozmiar 1 pod adresem ffff888102204047 przez zadanie kworker/u17:0/93
Zadzwoń do śledzenia:
hci_enhanced_setup_sync+0xda5/0xdf0
hci_cmd_sync_work+0x13c/0x290
proces_one_work+0x6b4/0x10e0

Przydzielone przez zadanie 92:
__hci_conn_add+0x304/0x1df0
hci_connect_acl+0x349/0x3e0
hci_connect_sco+0x3b/0x9a0
sco_sock_connect+0x475/0xca0

Uwolniony przez zadanie 94:
kfree+0x121/0x3c0
bt_link_release+0x79/0xa0
wydanie_urządzenia+0xc8/0x240
kobject_put+0x14d/0x280
hci_conn_del+0x524/0xe30
hci_disconn_complete_evt+0x403/0x8c0
hci_event_packet+0x71b/0xb20
hci_rx_work+0x293/0x730

Adres, do którego uzyskano dostęp, to 71 bajtów w zwolnionym rodzicu ACL, w jego miejscu
cechy[0] [3] bajt; umieszczone w kolejce dziecko SCO jest innym obiektem. The
diagnostyka zachowuje załadowanego rodzica przez całe opóźnienie, dopasowując
niezmodyfikowana kontrola możliwości skompilowanej i nie zmienia elementu nadrzędnego
odniesienia lub ścieżka rozbicia.

Przytrzymaj hci_dev_lock() na przełączniku kodeka, łącznie z każdym wywołaniem
find_next_esco_param() i zwolnij ją w przypadku wszystkich błędów wyboru. Zachowaj
configure_datapath_sync() poza sekcją krytyczną, ponieważ czeka
na wydarzenia HCI. Zachowaj wybór parametrów i istniejące wartości zwracane.

In the Linux kernel, the following vulnerability has been resolved:

Bluetooth: hci_conn: Lock parent access during enhanced SCO setup

Bluetooth: hci_conn: Lock parent access during enhanced SCO setup

hci_enhanced_setup_sync() runs on the request workqueue without the
hci_dev_lock held by its caller when setup was queued. Its CVSD
capability check and find_next_esco_param() dereference conn->parent
while the receive workqueue can unlink and release that parent.

The following interleaving can cause a use-after-free:

hci_enhanced_setup_sync() hci_disconn_complete_evt()
load conn->parent
hci_dev_lock()
hci_conn_del(ACL parent)
unlink SCO child
drop link's parent reference
clear child->parent
release ACL parent
bt_link_release()
kfree(parent)
hci_dev_unlock()
read parent->features[0][3]

The reference held for the queued SCO child does not keep its ACL parent
alive after unlinking. Commit 42de40abe25d ("Bluetooth: hci_conn: fix the
SCO setup context lifetime") protects the child stored in the queued
context, but leaves these parent accesses unprotected.

With a 40 ms diagnostic delay after loading conn->parent, an instrumented
kernel based on fd179f8a05be, which already contains 42de40abe25d,

BUG: KASAN: slab-use-after-free in hci_enhanced_setup_sync+0xda5/0xdf0
Read of size 1 at addr ffff888102204047 by task kworker/u17:0/93
Call Trace:
hci_enhanced_setup_sync+0xda5/0xdf0
hci_cmd_sync_work+0x13c/0x290
process_one_work+0x6b4/0x10e0

Allocated by task 92:
__hci_conn_add+0x304/0x1df0
hci_connect_acl+0x349/0x3e0
hci_connect_sco+0x3b/0x9a0
sco_sock_connect+0x475/0xca0

Freed by task 94:
kfree+0x121/0x3c0
bt_link_release+0x79/0xa0
device_release+0xc8/0x240
kobject_put+0x14d/0x280
hci_conn_del+0x524/0xe30
hci_disconn_complete_evt+0x403/0x8c0
hci_event_packet+0x71b/0xb20
hci_rx_work+0x293/0x730

The accessed address is 71 bytes into the freed ACL parent, at its
features[0][3] byte; the queued SCO child is a different object. The
diagnostic preserves the loaded parent across the delay, matching the
unmodified compiled capability check, and does not change the parent
references or teardown path.

Hold hci_dev_lock() across the codec switch, including every call to
find_next_esco_param(), and release it on all selection errors. Keep
configure_datapath_sync() outside the critical section because it waits
for HCI events. Preserve parameter selection and existing return values.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve