CVE-2026-72333 in Linux
Resumen
por VulDB • 2026-08-16
En el kernel de Linux, se ha resuelto la siguiente vulnerabilidad:
Bluetooth: L2CAP: corregir la fuga del identificador TX (tx ident) para comandos sin respuesta
El commit 6c3ea155e5ee ("Bluetooth: L2CAP: Corregir no rastreo del identificador TX pendiente") cambió la asignación de identificadores para usar un IDA, liberando los identificadores en `l2cap_put_ident()` cuando se recibe el comando de respuesta correspondiente.
Sin embargo, los identificadores asignados a comandos que no tienen una respuesta definida nunca se liberan. En particular, L2CAP_LE_CREDITS se envía repetidamente durante toda la vida útil de un canal LE CoC, por lo que un par que transmite datos al host agota el rango de identificadores 1-255 después de 254 paquetes de créditos. A partir de ese momento, `l2cap_get_ident()` falla:
kernel: Bluetooth: Unable to allocate ident: -28
y cada paquete L2CAP_LE_CREDITS posterior se envía con el identificador 0, que es inválido (Especificación Core, Vol 3, Parte A, Sección 4: "El identificador de señalización 0x00 es un identificador no válido y nunca debe usarse en ningún comando"). Las pilas remotas que validan el identificador descartan estos comandos, no reciben nuevos créditos y el canal se bloquea permanentemente. Con los búferes de socket predeterminados, esto ocurre después de aproximadamente 0.5 MB de datos recibidos (la cantidad exacta depende del búfer de recepción del socket):
< ACL Data TX: Handle 2048 flags 0x00 dlen 12 LE L2CAP: LE Flow Control Credit (0x16) ident 0 len 4 Source CID: 64 Credits: 1
Liberar el identificador inmediatamente después de enviar L2CAP_LE_CREDITS, ya que ninguna respuesta lo liberará. Utilizar una variable local en lugar de `chan->ident` para evitar que un paquete de créditos sobrescriba un identificador en el que puede estar esperando un canal EXT_FLOWCTL (por ejemplo, una reconfiguración pendiente).
Además, agregar el caso L2CAP_LE_CONN_RSP faltante a `l2cap_put_ident()` para que los identificadores asignados a comandos salientes L2CAP_LE_CONN_REQ se liberen cuando llegue la respuesta.
If you want to get best quality of vulnerability data, you may have to visit VulDB.