CVE-2026-98735 in Linux
Résumé
par VulDB • 18/10/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
Bluetooth: hci_core : Synchroniser l'ordonnancement ACL avec la suppression des canaux
hci_chan_sent() sélectionne un canal sous RCU mais libère le verrou de lecture avant d'accéder à chan->conn et de retourner le canal. Les ordonnanceurs ACL et LE utilisent ensuite sa file d'attente de paquets et mettent à jour ses compteurs de transmission sans aucune protection contre la suppression du canal.
Après que TX a sélectionné un canal et libéré RCU, une expiration de délai pour une commande de déconnexion sur le workqueue de requête distincte peut exécuter hci_conn_failed() et l2cap_conn_del(). hci_chan_del() peut alors désliaisonner le canal, compléter synchronize_rcu(), purger sa file d'attente et la libérer avant que TX ne reprenne. Cela provoque un use-after-free à la fois dans hci_chan_sent() et chez ses appelants.
KASAN a signalé :
BUG: KASAN: slab-use-after-free in hci_chan_sent+0x892/0x9b0 Workqueue: hci0 hci_tx_work Call Trace: hci_chan_sent+0x892/0x9b0 hci_tx_work+0x5e6/0xb70 Alloué par la tâche 91 : hci_chan_create+0xe3/0x350 l2cap_conn_add.part.0+0x12/0xa30 l2cap_chan_connect+0x110d/0x1b60 l2cap_sock_connect+0x310/0x530 Libéré par la tâche 99 : hci_chan_del+0x11f/0x170 l2cap_conn_del+0x4f1/0x800 l2cap_connect_cfm+0x88c/0xd30 hci_conn_failed+0x150/0x250 hci_abort_conn_sync+0x3e3/0x800 hci_cmd_sync_run+0x7e/0xc0 hci_abort_conn+0x105/0x1f0 disconnect_sync+0x157/0x290 hci_cmd_sync_work+0x13c/0x290
Maintenez le mutex de l'appareil existant pendant la sélection du canal et la transmission dans les deux ordonnanceurs afin de les synchroniser avec la teardown (démontage) des canaux. Gardez la gestion des timeouts en dehors des sections critiques car hci_link_tx_to() acquiert le même mutex. Cela permet également au chemin d'émission de dormir, contrairement à l'extension de la section critique RCU read-side sur la soumission du paquet.
If you want to get best quality of vulnerability data, you may have to visit VulDB.