CVE-2026-64405 in Linux
要約
〜によって VulDB • 2026年07月25日
Linuxカーネルにおいて、以下の脆弱性が修正されました。
Bluetooth: hci_conn: hci_abort_conn() における NULL ポインタ参照の修正
hci_abort_conn() は接続が保留中だった場合に hci_skb_event(hdev->sent_cmd) を読み取っていましたが、req_status がまだ HCI_REQ_PEND の場合でも hdev->sent_cmd が NULL になる可能性があり、その結果、NULL ポインタ参照および hci_rx_work() の受信パスから一般保護フォールトが発生していました。
hdev->sent_cmd を検査する代わりに、新しい接続ごとの HCI_CONN_CREATE フラグを使用して飛行中のコネクション作成コマンドを追跡し、すべての取り消しを hci_cancel_connect_sync() 経由でルーティングします。この関数は、タイプ固有の専用キャンセル関数にディスパッチします。作成コマンドは「まだキューイング中」か「飛行中（実行中）」のいずれかの状態にあります。キャンセル機能では、cmd_sync_work_lock を全体の判断処理全体で保持しています。ワーカーはこのロックを取得してすべてのエントリをデキューするため、ロックが保持されている間、キューイング中のコマンドの実行開始や、飛行中のコマンドの完了による次のコマンドの保留化は発生しません。これにより、フラグテストと hci_cmd_sync_cancel() がワーカーに対してアトミックに保たれ、キューイング中のコマンドは単にデキューされ、この接続が所有する飛行中のコマンドは、その間に別の無関係なコマンドが保留状態になったとしてもそれをキャンセルしてしまうリスクなしに取り消されます。CIS は HCI_CONN_CREATE_CIS を介して同じフラグメカニズムを使用しますが、接続ごとにデキューすることはできません。
hci_acl_create_conn_sync() と hci_le_create_conn_sync() は、作成コマンドの完了後に HCI_CONN_CREATE をクリアしますが、コントローラが接続を拒否した場合など、ワーカーがまだコネクション完了イベントでブロックされている間に、コマンドステータスハンドラは hci_conn_del() 経由で conn を解放する可能性があります。use-after-free のリスクを防ぐため、作成コマンド全体を通じて conn への参照を保持し、フラグのクリア時に安全に行えるようにします。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.