SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-46186

ŚrednieCVSS 5.5
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.01%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

W jądrze systemu Linux zidentyfikowano podatność w obsłudze pakietów Bluetooth, która pozwala na przekazywanie nieprawidłowych danych do funkcji hci_recv_frame(). Problem ten występuje, gdy długość pakietu nie jest odpowiednio weryfikowana przed dalszym przetwarzaniem, co może prowadzić do odczytu niezainicjowanych danych z bufora.

Ocena ryzyka

Podatność ta może prowadzić do nieprzewidywalnego zachowania systemu, w tym do potencjalnych awarii lub wycieków danych, co stanowi zagrożenie dla stabilności i bezpieczeństwa systemu.

Rekomendacja

Zaleca się aktualizację jądra systemu Linux do najnowszej wersji, która zawiera poprawki dla tej podatności. Należy również monitorować logi systemowe w celu wykrycia ewentualnych prób wykorzystania tej luki.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

In the Linux kernel, the following vulnerability has been resolved: Bluetooth: virtio_bt: validate rx pkt_type header length virtbt_rx_handle() reads the leading pkt_type byte from the RX skb and forwards the remainder to hci_recv_frame() for every event/ACL/SCO/ISO type, without checking that the remaining payload is at least the fixed HCI header for that type. After the preceding patch bounds the backend-supplied used.len to [1, VIRTBT_RX_BUF_SIZE], a one-byte completion still reaches hci_recv_frame() with skb->len already pulled to 0. If the byte happened to be HCI_ACLDATA_PKT, the ACL-vs-ISO classification fast-path in hci_dev_classify_pkt_type() dereferences hci_acl_hdr(skb)->handle whenever the HCI device has an active CIS_LINK, BIS_LINK, or PA_LINK connection, reading two bytes of uninitialized RX-buffer data. The same hazard exists for every packet type the driver accepts because none of the switch cases in virtbt_rx_handle() check skb->len against the per-type minimum HCI header size before handing the frame to the core. After stripping pkt_type, require skb->len to cover the fixed header size for the selected type (event 2, ACL 4, SCO 3, ISO 4) before calling hci_recv_frame(); drop ratelimited otherwise. Unknown pkt_type values still take the original kfree_skb() default path. Use bt_dev_err_ratelimited() because both the length and pkt_type values come from an untrusted backend that can otherwise flood the kernel log.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS