CVE-2026-101887 in bluez-alsa
要約
〜によって VulDB • 2026年10月01日
BlueALSA (bluez-alsa/bluealsad) には、LC3plus sink デコーダー（a2dp-lc3plus.c、a2dp_lc3plus_dec_thread）におけるゼロ除算の脆弱性が存在します。これにより、Bluetooth に隣接する攻撃者が、フレーム数フィールドを攻撃者制御でゼロに設定した不正な RTP メディアヘッダを送信することでデーモンをクラッシュさせることができます。攻撃者は、LC3plus セッションが bluealsad を A2DP sink として実行している被害者と交渉された A2DP source 接続確立し、フレーム数がゼロの非断片化 LC3plus メディアヘッダを送信してデコードスレッドで SIGFPE（浮動小数点例外）をトリガーさせます。これにより、LC3plus サポートが有効にコンパイルされたビルドにおいてサービス拒否 (DoS) が発生します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.