Odebrany

CVE-2026-99011

opublikowano: 23.10.2026, 15:17

modyfikacja: 23.10.2026, 15:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

Bluetooth: SCO: serializuj czas życia sco_conn względem sco_recv_scodata()

sco_recv_scodata() aktualizuje słaby wskaźnik wsteczny hcon->sco_data do
silne odniesienie pod hdev->lock:

hci_dev_lock(hdev);
hcon = hci_conn_hash_lookup_handle(hdev, uchwyt);
...
conn = sco_conn_hold_unless_zero(hcon->sco_data);
hci_dev_unlock(hdev);

ale wskaźnik jest usuwany z drugiej strony bez tej blokady. Kiedy
ostatnie odwołanie do sco_conn zostało usunięte, uruchomiono funkcję sco_conn_free().

conn->hcon->sco_data = NULL;

bez blokady hdev->lock, więc ścieżka RX może odczytać hcon->sco_data i
wywołaj kref_get_unless_zero() na sco_conn, który został jednocześnie zwolniony:

BŁĄD: KASAN: użycie płyty po zwolnieniu w sco_conn_hold_unless_zero+0xbe/0x160
Zapisz rozmiar 4 w zadaniu kworker/u17:0
Kolejka robocza: hci0 hci_rx_work
Zadzwoń do śledzenia:
sco_conn_hold_unless_zero+0xbe/0x160
sco_recv_scodata+0x13f/0x490
hci_rx_work+0x3af/0x730

kref_get_unless_zero() chroni tylko przed zerowym przeliczeniem, a nie przed
pamięć zapasowa jest już zwolniona.

Podaj hcon->sco_data rzeczywiste odniesienie do sco_conn, na które wskazuje, więc
obiektu nie można zwolnić, dopóki wskaźnik jest nadal zainstalowany i tylko
wyczyść i upuść go z sco_conn_del(), która działa pod hdev->lock (jego
dzwoniących, sco_connect_cfm() i sco_disconn_cfm(), przytrzymaj). Czytelnik w
sco_recv_scodata() również pobiera hdev->lock, więc zapisywanie i odczyt są
teraz serializowany: ścieżka RX albo zwraca uwagę na wartość NULL, albo na referencję
gwarantuje, że pozostanie ważny, dopóki nie zrezygnuje z własnego.

sco_conn_add() nie przekazuje już referencji kref_init() osobie wywołującej jako
jedyne odniesienie do połączenia; to początkowe odniesienie jest własnością
przez hcon->sco_data, a osoby wywołujące otrzymują własne za pomocą sco_conn_hold().

Ponieważ sco_conn może teraz przetrwać gniazdo (powiązanie go utrzymuje
aktywny, dopóki łącze nie zostanie wyłączone), hci_conn nie może już zostać usunięty
z sco_conn_free() bez cofania zamknięcia gniazda: zamknięcie połączonego
Gniazdo SCO nadal musi rozerwać łącze. Przenieś własność hci_conn do pliku
zamiast tego gniazdo: __sco_chan_add() pobiera odwołanie do hci_conn i tak jest
zwolniony z sco_chan_del() i sco_sock_destruct(), dokładnie raz. The
sco_conn nie jest już właścicielem odniesienia hci_conn, więc sco_conn_add() przestaje działać
zużywa jeden, a sco_connect() usuwa odwołanie do hci_connect_sco().
każda ścieżka; sco_connect_cfm() nie potrzebuje już tańca hci_conn_hold().

In the Linux kernel, the following vulnerability has been resolved:

Bluetooth: SCO: serialise sco_conn lifetime against sco_recv_scodata()

sco_recv_scodata() upgrades the weak hcon->sco_data back-pointer to a
strong reference under hdev->lock:

hci_dev_lock(hdev);
hcon = hci_conn_hash_lookup_handle(hdev, handle);
...
conn = sco_conn_hold_unless_zero(hcon->sco_data);
hci_dev_unlock(hdev);

but the pointer is cleared from the other side without that lock. When
the last sco_conn reference is dropped, sco_conn_free() ran

conn->hcon->sco_data = NULL;

with no hdev->lock held, so the RX path could read hcon->sco_data and
call kref_get_unless_zero() on an sco_conn that was concurrently freed:

BUG: KASAN: slab-use-after-free in sco_conn_hold_unless_zero+0xbe/0x160
Write of size 4 by task kworker/u17:0
Workqueue: hci0 hci_rx_work
Call Trace:
sco_conn_hold_unless_zero+0xbe/0x160
sco_recv_scodata+0x13f/0x490
hci_rx_work+0x3af/0x730

kref_get_unless_zero() only guards against a zero refcount, not against
the backing memory already being freed.

Give hcon->sco_data an actual reference on the sco_conn it points to, so
the object cannot be freed while the pointer is still installed, and only
clear and drop it from sco_conn_del(), which runs under hdev->lock (its
callers, sco_connect_cfm() and sco_disconn_cfm(), hold it). The reader in
sco_recv_scodata() also takes hdev->lock, so the store and the read are
now serialised: the RX path either observes NULL or a reference that is
guaranteed to stay valid until it drops its own.

sco_conn_add() no longer hands its kref_init() reference to the caller as
the connection's only reference; that initial reference is the one owned
by hcon->sco_data, and callers get their own via sco_conn_hold().

Because the sco_conn can now outlive the socket (the association keeps it
alive until the link goes down), the hci_conn can no longer be dropped
from sco_conn_free() without regressing socket close: closing a connected
SCO socket must still tear the link down. Move hci_conn ownership to the
socket instead: __sco_chan_add() takes an hci_conn reference and it is
released from sco_chan_del() and sco_sock_destruct(), exactly once. The
sco_conn no longer owns an hci_conn reference, so sco_conn_add() stops
consuming one and sco_connect() drops the hci_connect_sco() reference on
every path; sco_connect_cfm() no longer needs its hci_conn_hold() dance.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve