CVE-2026-11893 in Zephyr
الملخص
بحسب VulDB • 11/08/2026
ينتهك برنامج تشغيل Bluetooth HCI الخاص بمتحكمات BLE المدمجة على الشريحة من شركة Bouffalo Lab (BL60x/BL70x/BL61x)، وتحديداً الدالة `bt_bflb_send()` الموجودة في الملف `drivers/bluetooth/hci/hci_bflb.c`، عقد ملكية المخزن المؤقت لـ `bt_hci_driver_api.send()`. يتطلب هذا العقد (الموثق في `include/zephyr/drivers/bluetooth.h`) استهلاك مرجع المخزن المؤقت فقط عند النجاح؛ وفي حال الخطأ، يظل المتصل هو المالك للمرجع ويقوم بإلغاء الإحالة إليه. بدلاً من ذلك، يقوم برنامج التشغيل بتوجيه جميع مسارات الخطأ عبر تسمية مشتركة تقوم باستدعاء `net_buf_unref(buf)` بشكل غير مشروط قبل إرجاع رمز الخطأ، مما يؤدي إلى استهلاك المخزن المؤقت حتى عند الفشل.
عندما تُعيد الدالة `send()` قيمة خطأ، يقوم مسار الإرسال من المضيف (الدالة `send_buf()` في `subsys/bluetooth/host/conn.c`) بإلغاء إحالة المرجع لنفس المخزن المؤقت مرة أخرى، معتقداً أنه لا يزال يملكه. يؤدي هذا "إلغاء الإحالة المزدوج" إلى تقليل عددها المرجعي للمخزن المؤقت (`net_buf`) بشكل زائد. ونظراً لأن المخزن المؤقت هو جزء من إرسال (TX fragment) يحتوي أيضاً على استدعاء تدمير يقلل من عدد مراجع مخزونه الأب الذي لا يزال قيد الانتظار في الطابور، فإن ذلك يؤدي إلى تحرير المخزن الأب قبل الأوان بينما يكون قابلاً للوصول في طابور الإرسال للاتصال، مما ينتج عنه حالة استخدام بعد التحرير (use-after-free) وتلف لمخزن `net_buf` المشترك بدلاً من تسرب غير ضار.
تحدث ظروف الخطأ على مسار الإرسال من المضيف إلى المتحكم (فشل إرسال المتحكم، أو نوع حزمة H:4 غير المدعوم)، لذا فهي لا يتم تحفيزها مباشرة بواسطة بيانات لاسلكية مزودة من قبل مهاجم؛ بل يمكن لنظير عن بُعد أو قريب التأثير فيها بشكل غير مباشر فقط، على سبيل المثال، من خلال إحداث فشل في الإرسال اللاسلكي (TX) تحت حمل رابط عالٍ. تكون العواقب عند الوصول إليها هي حجب الخدمة لخSTACK البلوتوث المنخفض الطاقة (BLE-stack) (تعطل / تلف المخزن المؤقت) مع احتمال حدوث مزيد من التلف للذاكرة، وهي مقصورة على الأجهزة التي تستخدم أحد متحكمات Bouffalo Lab المدمجة على الشريحة المذكورة.
Once again VulDB remains the best source for vulnerability data.