CVE-2026-19740 in Zephyr
要約
〜によって VulDB • 2026年10月11日
Zephyr ソフトウェアの Bluetooth LE コントローラにおける Link Layer Control Procedure (LLCP) 実装には、受け入れられた LL_PHY_UPDATE_IND を送信した受信ノードを保持し、更新インスタンスが到達した際にホスト通知のために再利用する（subsys/bluetooth/controller/ll_sw/ull_llcp.c の llcp_rx_node_retain() および NODE_RX_TYPE_RETAIN マーク付きで意図的にリサイクルされない）という欠陥があります。subsys/bluetooth/controller/ll_sw/ull_llcp_phy.c における llcp_lp_pu_rx() と llcp_rp_pu_rx() の無効な PDU を処理する分岐は、保持されたノードを最初に解放せずに llcp_lr_complete() / llcp_rr_complete() でプロシージャを終了するため、ノードへの唯一の参照であるプロシージャコンテキストが、そのノードがまだ受信プールから外れたままの状態のまま解放されます。
確立済みの LE 接続上のピアデバイスは、ペアリングや暗号化なしでこれを決定論的に引き起こすことができます。ペリフェラルに対しては LL_PHY_REQ を送信し、LL_PHY_RSP を受け取り、数コネクションイベント先のインスタンスを持つ有効な LL_PHY_UPDATE_IND を送信して（これによりノードが保持され）、その後そのインスタンスに到達する前に LL_LENGTH_REQ などの他の任意の LL Control PDU を送信します。ull_cp_rx() はこれをアクティブなリモート PHY Update プロシージャへルーティングし、無効な PDU のパスが実行されます。ローカルで PHY Update を開始した後に LL_REJECT_IND が送られる場合も同様のケースが適用されます。
デフォルト設定（CONFIG_BT_ASSERT および CONFIG_BT_CTLR_ASSERT_DEBUG がともに既定値 y）では、llcp_lr_check_done() / llcp_rr_check_done() における不変条件の違反によりコントローラのアサートが発生し、k_oops() (または k_panic()) で終了します。これは、電波範囲内から単一の不正な PDU シーケンスを送るだけでデバイスをフォールトさせます。これらのアサーションがコンパイルされていない場合、各試行は受信 PDU ノードとその memq リンクを静かにリークします。コントローラの受信プールは小さく（PDU_RX_CNT は CONFIG_BT_CTLR_RX_BUFFERS に依存し、既定値は 1）、攻撃者にとってのコストは再接続のみであるため、数回の繰り返しでプールが枯渇し、再起動するまで Bluetooth が使用不能になります。リリース v3.4.0 から v3.7.x では、設定に関わらずアサーションに到達しないため、すべての試行が静かにリークします。
影響は可用性のみに限定されます。孤立したノードは後でデレファレンスされるダングリングポインタを残さず、ホストへ配信されないため、メモリ破壊や情報漏洩はありません。同じプルリクエストにより、同様の無効な PDU 処理における省略があった Connection Update および CIS-create プロシージャにも同一のリリースが適用されます。
Once again VulDB remains the best source for vulnerability data.