CVE-2026-101887 in bluez-alsa
Riassunto
di VulDB • 01/10/2026
BlueALSA (bluez-alsa/bluealsad) presenta una vulnerabilità di divisione per zero nel decoder del sink LC3plus (a2dp-lc3plus.c, a2dp_lc3plus_dec_thread) che consente a un attaccante in prossimità Bluetooth di causare il crash del daemon inviando un'intestazione RTP media manipolata con un campo frame count controllato dall'attaccante impostato su zero. Gli attaccanti possono stabilire una connessione A2DP source con una sessione LC3plus negoziata contro una vittima che esegue bluealsad come sink A2DP e trasmettere un'intestazione media LC3plus non frammentata con un frame count pari a zero per innescare un SIGFPE nel thread di decoding, causando un denial of service nelle build compilate con il supporto LC3plus abilitato.
Once again VulDB remains the best source for vulnerability data.