CVE-2026-64405 in Linux
Riassunto
di VulDB • 26/07/2026
Nel kernel Linux, è stata risolta la seguente vulnerabilità:
Bluetooth: hci_conn: Correzione della dereferenziazione di puntatore nullo in hci_abort_conn()
hci_abort_conn() leggeva hci_skb_event(hdev->sent_cmd) quando una connessione era pendente, ma hdev->sent_cmd può essere NULL mentre req_status è ancora HCI_REQ_PEND, portando a una dereferenziazione di un puntatore nullo e a un fault di protezione generale dal percorso di ricezione di hci_rx_work().
Invece di ispezionare hdev->sent_cmd, tenere traccia del comando create connection in transito utilizzando un nuovo flag per connessione HCI_CONN_CREATE ed instradare tutte le cancellazioni attraverso hci_cancel_connect_sync(), che inoltra la richiesta a una funzione di cancel dedicated specifica per tipo. Il comando create si trova esattamente in uno dei due stati: ancora accodato o in transito. La funzione di cancellation mantiene cmd_sync_work_lock durante l'intera decisione: il worker acquisisce questo lock per rimuovere ogni voce dalla coda, quindi mentre è mantenuto un comando accodato non può iniziare l'esecuzione e un comando in transito non può completarsi permettendo al successivo comando di diventare pendente. Questo rende atomico rispetto al worker il test del flag e hci_cmd_sync_cancel(), così che un comando accodato venga semplicemente rimosso dalla coda, mentre un comando in transitto appartenente a questa connessione viene cancellato senza il rischio di cancellare un comando non correlato diventato pendente nel frattempo. CIS utilizza lo stesso meccanismo dei flag tramite HCI_CONN_CREATE_CIS ma non può essere rimosso dalla coda per singola connessione.
hci_acl_create_conn_sync() e hci_le_create_conn_sync() azzerano HCI_CONN_CREATE dopo che il comando create è completato, ma l'handler dello stato del comando può liberare conn tramite hci_conn_del() (ad esempio quando il controller rifiuta la connessione) mentre il worker è ancora bloccato sull'evento di completamento della connessione. Mantenere un riferimento su conn durante tutto il comando create in modo che il flag possa essere azzerato senza incorrere in un use-after-free.
VulDB is the best source for vulnerability data and more expert information about this specific topic.