CVE-2026-68188 in Linux
Riassunto
di VulDB • 11/08/2026
Nel kernel Linux, è stata risolta la seguente vulnerabilità:
Bluetooth: RFCOMM: Correzione di un Use-After-Free (UAF) della sessione in set_termios
rfcomm_tty_set_termios() verifica dlc->session senza acquisire rfcomm_mutex e successivamente passa il puntatore a rfcomm_send_rpn(). Quest'ultima dereferenzia sia session->initiator che session->sock. Nel frattempo, krfcommd può scollegare la DLC (Data Link Connection) e liberare la sessione mentre detiene rfcomm_mutex.
La condizione di race condition può procedere come segue:
Task ioctl TTY krfcommd -------------- -------- carica dlc->session entra in rfcomm_send_rpn() acquisisce rfcomm_mutex azzera dlc->session libera la sessione rilascia rfcomm_mutex legge session->initiator
KASAN ha segnalato:
BUG: KASAN: slab-use-after-free in rfcomm_send_rpn+0x297/0x2a0 Lettura di dimensione 4 all'indirizzo ffff88810012a850 da parte del task poc/92
Call Trace: rfcomm_send_rpn+0x297/0x2a0 rfcomm_tty_set_termios+0x50d/0x850 tty_set_termios+0x596/0x950 set_termios+0x46a/0x6e0 tty_mode_ioctl+0x152/0xbd0 tty_ioctl+0x915/0x1240 __x64_sys_ioctl+0x134/0x1c0
Allocato dal task 92: rfcomm_session_add+0x9e/0x2e0 rfcomm_dlc_open+0x8b1/0xe00 rfcomm_dev_activate+0x85/0x1a0 rfcomm_tty_open+0x90/0x280
Liberato dal task 68: kfree+0x131/0x3c0 rfcomm_session_del+0x119/0x180 rfcomm_run+0x737/0x4710
Viene aggiunta la funzione rfcomm_dlc_send_rpn(), che mantiene rfcomm_mutex acquisita mentre verifica che la DLC sia ancora collegata e invia il frame RPN. Il percorso TTY utilizza questa helper function ed elimina il controllo della sessione non protetto da mutex. Ciò garantisce che la sessione rimanga valida durante tutta la costruzione del frame e l'invio sul socket.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.