CVE-2026-5068
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W stosie Bluetooth hosta, podczas składania SDU L2CAP LE CoC, zdalny, nieuwierzytelniony peer BLE może wywołać zapis poza zakresem o długości 2 bajtów. Dzieje się tak, gdy aplikacja włącza segmentację, a wybrany pul RX ma user_data_size mniejszy niż 2 bajty, co powoduje zapis licznika segmentacji poza dozwolony obszar w l2cap_chan_le_recv_seg.
Ocena ryzyka
Atak może spowodować przerwanie działania przez AddressSanitizer lub, bez ASan, uszkodzenie sterty i błąd krytyczny, prowadzący do odmowy usługi lub potencjalnie do wykonania kodu.
Rekomendacja
Należy zaktualizować stos Bluetooth hosta do wersji zawierającej poprawkę dla tego problemu, która zapewnia prawidłowe sprawdzanie rozmiaru przed zapisem licznika segmentacji.
Inne podatności w Zephyr Bluetooth Host
Zobacz wszystkie- CVE-2026-82388Średnie
Podatność w stosie Bluetooth Zephyr dotyczy funkcji bt_hfp_hf_connect(), która przy niepowodzeniu bt_rfcomm_dlc_connect() zeruje cały obiekt HFP Hands-Free, mimo że powiązane zapytanie SDP jest nadal aktywne. Prowadzi to do użycia zwolnionego obiektu, w tym wywołań przez wskaźnik NULL i zapętlenia listy żądań SDP, co skutkuje awarią lub zawieszeniem wątku hosta Bluetooth. Podatność można wywołać zdalnie, np. przez urządzenie reklamujące kanał RFCOMM spoza zakresu 1-30 lub kontrolujące timing połączenia.
- CVE-2026-81039Średnie
Podatność w stosie Bluetooth hosta Zephyr dotyczy błędnego przypisania rezerwacji obiektu bt_conn do zestawu reklamowego przy połączeniach przychodzących. Gdy aplikacja uruchamia wiele rozszerzonych zestawów reklamowych (CONFIG_BT_EXT_ADV_MAX_ADV_SET > 1), funkcja find_pending_connect() może zwrócić rezerwację należącą do innego, wciąż aktywnego zestawu, co prowadzi do trwałego wycieku slotu połączenia. Atakujący w zasięgu radiowym może to wykorzystać bez uwierzytelnienia, doprowadzając do wyczerpania puli połączeń i odmowy usługi.
- CVE-2026-19938Średnie
Podatność w stosie Bluetooth Zephyr powoduje podwójne zwolnienie bufora net_buf w ścieżce transmisji ATT podczas nieudanego podpisywania. Ponadto, w przypadku niepowodzenia bt_l2cap_send_pdu(), bufor może zostać ponownie użyty z zachowanym podpisem, co prowadzi do zapisu poza zakresem. Skutkuje to uszkodzeniem pamięci, awariami lub potencjalnym wykonaniem kodu.
- CVE-2026-12236Średnie
Podatność w funkcji parse_read_std_char_desc() w podsystemie Bluetooth hosta (subsys/bluetooth/host/gatt.c) pozwala zdalnemu, nieuwierzytelnionemu urządzeniu na zawieszenie wątku obsługi Bluetooth przez wysłanie odpowiedzi ATT z zerową długością wpisu (rsp->len = 0). Pętla parsowania nie sprawdza minimalnej wartości rsp->len, co prowadzi do nieskończonej pętli (CWE-835) i braku możliwości zakończenia odkrywania deskryptorów.
Oryginalny opis (angielski, źródło NVD)
A remote, unauthenticated BLE peer can trigger a 2-byte out-of-bounds write in the Bluetooth host during L2CAP LE CoC SDU reassembly. When the application enables segmentation (via chan_ops.alloc_buf) and the chosen RX pool has a user_data_size smaller than 2 bytes, the segmentation counter stored in the net_buf user_data area is written out of bounds in l2cap_chan_le_recv_seg (subsys/bluetooth/host/l2cap.c). The observed effects are an AddressSanitizer abort and, without ASan, heap corruption / fatal error.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS