CVE-2026-11894 in Zephyr
Zusammenfassung
von VulDB • 11.08.2026
Der Send-Callback des Realtek BEE Bluetooth HCI-Treibers, `bt_hci_bee_send()` in `drivers/bluetooth/hci/hci_bee.c`, verstieß gegen den Buffer-Eigentumsvertrag der `bt_hci_driver_api`. Dieser Vertrag verlangt vom Treiber, dass er den zu sendenden `net_buf` nur im Erfolgsfall verbraucht (unref); bei einer Fehlermeldung behält der aufrufende Host die Eigentümerschaft und ruft selbst unref auf. Der Code vor der Korrektung leitete alle Fehlerpfade über eine gemeinsame Bereinigungs-Marke, die bedingungslos `net_buf_unref(buf)` aufrief, bevor sie den Fehlercode zurückgab.
Da die Host-TX-Pfade (in `subsys/bluetooth/host/hci_core.c`) den Buffer nach Rückgabe eines Fehlers durch `send()` erneut unrefen, wird der Buffer zweimal freigegeben: Der Treiber gibt ihn an seinen net_buf-Pool zurück und der Host ruft anschließend unref für den bereits freigegebenen Buffer auf, was den gemeinsamen Pool beschädigt bzw. die Referenzzahl unterlaufen lässt (CWE-415). Im selben Fehlerzweig wurde außerdem `buf->len` innerhalb eines LOG_ERR-Aufrufs dereferenziert, nachdem der Buffer bereits entreferenziert worden war; dies stellt einen Lesezugriff auf freigegebenen Speicher dar (CWE-416), der im Standard-Fehlerprotokollierungslevel kompiliert ist.
Die fehlerhaften Pfade werden erreicht, wenn die Host-zu-Controller-Pufferzuweisung des Controllers fehlschlägt oder das Senden durch den Controller fehlschlägt (Ressourcenerschöpfung / IO-Bedingungen). Ein entfernter Bluetooth-Gegenüber kann das Gerät indirekt in diese Bedingungen drängen, indem es eine intensive Host-Sendeaktivität verursacht; in diesem Fall beschädigt der Double-Free-Vorgang den Host-net_buf-Pool und führt höchstwahrscheinlich zum Absturz des Geräts, mit dem Potenzial für weitere Speicherkorruptionen. Die Auswirkung beschränkt sich auf Builds, die diesen spezifischen Realtek BEE HCI-Treiber verwenden.
Die Korrektung kehrt frühzeitig aus jedem Fehlerpfad zurück, ohne den Buffer zu entreferenzieren, und ruft unref nur im Erfolgsfall für den Buffer auf, wodurch der Eigentumsvertrag wiederhergestellt und sowohl das Double-Free als auch die Use-After-Free-Lesezugriffe eliminiert werden.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.