CVE-2026-19936 in Zephyr
Résumé
par VulDB • 13/10/2026
Le file `delayable_msg.c` du sous-système Bluetooth Mesh (subsys/bluetooth/mesh/delayable_msg.c) contient une file d'attente de messages différé au niveau de l'accès qui partage trois listes intrusives (`busy_ctx`, `free_ctx`, `free_chunks`) et un élément `k_work_delayable` entre deux threads coopératifs, sans aucune synchronisation : la fonction `bt_mesh_delayable_msg_manage()` s'exécute sur le thread RX de l'hôte Bluetooth, tandis que `delayable_msg_handler()` s'exécute sur la file d'attente de travail du système (system workqueue). Les deux fonctions bloquent lorsque les listes se trouvent dans un état intermédiaire — l'enfileur (`enqueuer`) dans `bt_rand()`, et les deux dans `bt_mesh_access_send()` — ce qui permet au contexte concurrent d'observer un état corrompu (« torn state »). La fonction `delayable_msg_handler()` utilise le résultat de `sys_slist_get()` sur `busy_ctx` sans vérifier la valeur NULL, et `allocate_delayable_msg_ctx()` teste `sys_slist_is_empty()`, puis suppose qu'un appel ultérieur à `sys_slist_get()` réussira.
Étant donné que les options de configuration `CONFIG_BT_MESH_ACCESS_DELAYABLE_MSG` et `CONFIG_BT_MESH_ACCESS_DELAYABLE_MSG_CTX_ENABLED` sont définies par défaut sur « y » (activées), chaque réponse d'un modèle suite à la réception d'un message Mesh est placée dans cette file d'attente. Par conséquent, l'enfileur s'exécute en conséquence directe du trafic entrant. Un pair capable de faire accepter des messages au niveau de l'accès par un modèle (il doit posséder le NetKey et une AppKey liée, ce qui implique qu'il s'agit d'un membre légitime ou compromis du réseau) contrôle le taux d'arrivée, la taille des réponses sollicitées et l'adresse de destination, contrôlant ainsi l'occupation du pool de 4 entrées pour les contextes (`context pool`) et du pool de 40 entrées pour les chunks. L'épuisement du pool de chunks force `bt_mesh_delayable_msg_manage()` à emprunter le chemin de purge (« purge path »), qui envoie et libère le seul message mis en file d'attente, laissant la liste `busy_ctx` vide tandis que l'élément de travail différé reste armé ; si l'enfileur cède alors son temps processeur (yield), le gestionnaire s'exécute sur une liste vide.
Le résultat est une opération de lecture-modification-écriture via un pointeur basé sur NULL (`pending_msg->fired_time += 10`) à une adresse fixe et faible sur le thread de la file d'attente de travail du système. Sur les cibles typiques, cela provoque une faute (fault), entraînant l'interruption du thread de la file d'attente de travail — ce qui arrête toutes les fonctionnalités pilotées par cette file d'attente, y compris le mécanisme de temporisation Mesh — ou un redémarrage du nœud. L'impact est donc une perte de disponibilité du nœud concerné. La valeur écrite et l'adresse sont fixes, et aucune longueur ni index contrôlé par l'attaquant n'est impliqué ; il ne s'agit pas d'une vulnérabilité exploitable pour la corruption de mémoire ou l'exécution de code. Cette même fenêtre non synchronisée a également permis à un contexte de message d'être sélectionné et libéré simultanément par deux contextes, produisant des transmissions en double, des rappels de fin d'envoi dupliqués et une propriété croisée des chunks (« crossed chunk ownership »).
La correction sérialise chaque mutation de liste avec un `k_spinlock` qui n'est jamais maintenu pendant un appel bloquant, rend l'appel à `push_msg_from_delayable_msgs()` atomique pour détacher la tête de file d'attente afin qu'un message en cours d'envoi ne figure sur aucune liste, supprime le `sys_slist_get()` non vérifié dans `delayable_msg_handler()`, et rejette tout message atteignant l'avant de la file d'attente tandis que la pile est suspendue ou redémarrée.
Be aware that VulDB is the high quality source for vulnerability data.