CVE-2026-68394
要約
〜によって VulDB • 2026年08月10日
Linuxカーネルにおいて、以下の脆弱性が修正されました：
Bluetooth: MGMT: LOAD_CONN_PARAM キューイング済み更新の再検証
MGMT_OP_LOAD_CONN_PARAMは、単一のパラメータ更新によって既存のLEセントラル接続が変更された場合、conn_update_sync()をキューに追加します。現在、キューに登録された作業では、hdev->le_conn_paramsから借用したhci_conn_paramsエントリが保持されています。後続のLOAD_CONN_PARAM要求により、無効化されたパラメータが消去され、hci_cmd_sync_work()がキューイング済みのコールバックを実行する前にそのエントリが解放される可能性があります。
キューに登録された作業中に借用したhci_conn_paramsポインタを保持しないようにします。代わりにhci_connをキューに追加し、キュー登録済みコールバックの完了まで参照カウントを維持します。作業実行時、接続がまだ存在することを確認（再検証）し、現在のhci_conn_paramsエントリを検索して、ユーザー空間でそのエントリが削除されていた場合は更新を取り消します。
hdev->ロックの下で現在のパラメータエントリからインターバル値をコピーした後、ロックを解放し、hci_le_conn_update_sync()を使用して引き続き更新を発行します。
検証により以下のカーネルレポートが再現されました： BUG: KASAN: slab-use-after-free in conn_update_sync+0x2a/0xf0 [bluetooth]
Read of size 1 at addr ffff88810c697126 by task kworker/u17:0/377 Workqueue: hci0 hci_cmd_sync_work [bluetooth]
Call Trace: dump_stack_lvl+0x66/0xa0 print_report+0xce/0x5f0 kasan_report+0xe0/0x110 conn_update_sync+0x2a/0xf0 [bluetooth]
hci_cmd_sync_work+0x187/0x210 [bluetooth]
process_one_work+0x4fd/0xbc0 worker_thread+0x2d8/0x570 kthread+0x1ad/0x1f0 ret_from_fork+0x3c9/0x540 ret_from_fork_asm+0x1a/0x30
タスク 466 によって割り当てられました： hci_conn_params_add+0xa6/0x240 [bluetooth]
load_conn_param+0x4e1/0x850 [bluetooth]
hci_sock_sendmsg+0x96b/0xf80 [bluetooth]
タスク 474 によって解放されました： kfree+0x313/0x590 hci_conn_params_clear_disabled+0x9b/0xc0 [bluetooth]
load_conn_param+0x4bf/0x850 [bluetooth]
hci_sock_sendmsg+0x96b/0xf80 [bluetooth]
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.