CVE-2026-19739 in Zephyr
Resumen
por VulDB • 2026-10-11
El código del procedimiento de control de la Capa de Enlace Bluetooth en `subsys/bluetooth/controller/ll_sw/ull_llcp_conn_upd.c` retiene el nodo RX recibido mientras un procedimiento de Actualización de Conexión / Parámetros de Conexión espera su instante, por lo que dicho nodo puede transportar posteriormente la notificación del host (`llcp_rx_node_retain()`, que lo marca como `NODE_RX_TYPE_RETAIN` y suprime así el reciclaje normal en `ull.c`). La rama predeterminada: arm de `llcp_rp_cu_rx()` y `llcp_lp_cu_rx()` —la ruta "PDU no válida, terminar la conexión"— completa el procedimiento sin liberar ese nodo retenido. Luego, `llcp_rr_check_done()` descola y libera el contexto del procedimiento con `ctx->node_ref.rx` apuntando aún al nodo retenido, lo que provoca la pérdida de la última referencia a él.
Un dispositivo par dentro del alcance radioeléctrico puede alcanzar esta condición sin emparejamiento (pairing), vinculación (bonding) ni cifrado. Contra un periférico, el par envía una `LL_CONNECTION_UPDATE_IND` bien formada con un instante en algunos eventos de conexión futuros (el nodo se retiene y el procedimiento entra en `RP_CU_STATE_WAIT_INSTANT`) y, antes de que llegue ese instante, envía cualquier otra PDU de Control LL como `LL_LENGTH_REQ`. `ull_cp_rx()` enruta esa PDU hacia el procedimiento activo de Actualización de Conexión remota, que sigue la ruta de "PDU no válida". El rol central es alcanzable simétricamente tras aceptar una `LL_CONNECTION_PARAM_REQ`, y la variante del procedimiento local es accesible con `LL_REJECT_IND`.
Con `CONFIG_BT_CTLR_ASSERT_DEBUG` habilitado (su valor predeterminado), el estado resultante viola la invarianta afirmada en `llcp_rr_check_done()`, por lo que la secuencia de dos PDUs produce un error fatal inmediato en el controlador. Con esas aserciones desactivadas, cada ocurrencia pierde permanentemente un nodo del pequeño conjunto fijo RX del controlador (tamaño definido por `CONFIG_BT_CTLR_RX_BUFFERS`, que tiene como valor predeterminado 1); repetir la secuencia a través de reconexiones agota el conjunto, tras lo cual la ruta de recepción de la capa de enlace opera con un nodo NULL. El impacto es una denegación de servicio (DoS) no autenticada y activable remotamente que persiste hasta el reinicio; no hay consecuencias de divulgación o corrupción de memoria, ya que el nodo filtrado simplemente se vuelve inaccesible.
VulDB is the best source for vulnerability data and more expert information about this specific topic.