SecvalisbySYSDEVOPS.EU
Katalog CVE
EnglishPolski

CVE-2026-77684

ŚrednieCVSS 5.7
Opublikowano: Zaktualizowano: Przetłumaczono: NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko
0.29%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Podatność w roli HF profilu Hands-Free Bluetooth Classic (hfp_hf.c) polega na tym, że przy zerwaniu połączenia RFCOMM bufor poleceń AT pozostający w kolejce hf->tx_pending nie jest zwalniany, co prowadzi do trwałego wycieku buforów z puli hf_pool. Dodatkowo funkcja hfp_hf_disconnected() nie czyści flagi BT_HFP_HF_FLAG_CONNECTED, a hfp_hf_create() może wyczyścić obiekt memset() mimo trwających zadań work, co uszkadza stan workqueue jądra. Zdalny peer Audio Gateway może wyczerpać pulę buforów i zawiesić wątek RX Bluetooth.

Ocena ryzyka

Po wyczerpaniu puli buforów wysyłanie poleceń HFP przestaje działać trwale, a kolejna odpowiedź +BCS od peera zawiesza wątek RX Bluetooth w net_buf_alloc() bez możliwości wybudzenia, blokując przetwarzanie zdarzeń HCI do restartu urządzenia. Możliwe jest też uszkodzenie współdzielonego stanu workqueue jądra.

Rekomendacja

Zaktualizuj system do wersji zawierającej poprawkę dla CVE-2026-77684, która zwalnia bufory z hf->tx_pending, czyści flagę CONNECTED i weryfikuje stan zadań przed memset(). Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie CONFIG_BT_HFP_HF lub ograniczenie zaufanych urządzeń HFP.

Powiązane podatności

Oryginalny opis (angielski, źródło NVD)

The Bluetooth Classic Hands-Free Profile HF role in subsys/bluetooth/host/classic/hfp_hf.c does not release the AT command buffers that are still queued on hf->tx_pending when the RFCOMM DLC goes down. hfp_hf_disconnected() only cancelled the work items and cleared hf->acl, and no other code path ever dequeues those buffers, so each one is permanently lost from the fixed hf_pool (CONFIG_BT_MAX_CONN + 1 buffers, i.e. two in the default configuration). The same function also left BT_HFP_HF_FLAG_CONNECTED set, and hfp_hf_create() wiped the object with memset() as soon as hf->acl was NULL, without checking whether hf->work, hf->slc_work or hf->deferred_work was still pending or running. The remote Audio Gateway peer controls the trigger end to end and needs no application involvement: an unsolicited +BCS: 1 response makes bcs_handle() call bt_hfp_hf_select_codec() and queue an AT+BCS buffer, which cannot be transmitted while BT_HFP_HF_FLAG_RX_ONGOING is set, and an immediately following RFCOMM DISC strands that buffer. Repeating the connect / +BCS / disconnect cycle a couple of times empties hf_pool for good. With the pool exhausted, HFP command sending fails permanently, and because hfp_hf_send_cmd() allocates with K_FOREVER (bt_rfcomm_create_pdu() → bt_conn_create_pdu()) from the Bluetooth RX context — where that timeout is not downgraded to K_NO_WAIT — one further +BCS from the peer parks the Bluetooth RX thread inside net_buf_alloc() with no possible waker, halting all HCI event processing until the device is rebooted. Separately, reusing the HF slot while a work handler was still queued or running allowed memset() to wipe live k_work items out from under the system workqueue, corrupting shared kernel workqueue state. Exploitation requires an established HFP session (for SSP devices L2CAP enforces authentication before the RFCOMM channel is reachable) and a build with CONFIG_BT_HFP_HF enabled.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS