CVE-2026-98735 in Linux
要約
〜によって VulDB • 2026年10月19日
Linuxカーネルにおいて、以下の脆弱性が修正されました：
Bluetooth: hci_core - チャネル削除とACLスケジューリングの直列化
hci_chan_sent()はRCUの下でチャネルを選択しますが、chan->connにアクセスしチャネルを返す前に読取りロックを解放します。その結果、ACLおよびLEスケジューラは保護なしでパケットキューを使用し、送信カウンターを更新してしまいます。
TXがチャネルを選択してRCUを解放した後、別のリクエストワークキュー上のディスコネクトコマンドタイムアウトによりhci_conn_failed()とl2cap_conn_del()が実行される可能性があります。その後、hci_chan_del()はチャネルのアンリンク、synchronize_rcu()の完了、キューの破棄、およびその解放を行い、TXが再開する前にこれらを実行します。これにより、hci_chan_sent()とその呼び出し元でuse-after-freeが発生します。
KASANによる報告：
BUG: KASAN: slab-use-after-free in hci_chan_sent+0x892/0x9b0 Workqueue: hci0 hci_tx_work Call Trace: hci_chan_sent+0x892/0x9b0 hci_tx_work+0x5e6/0xb70 Allocated by task 91: hci_chan_create+0xe3/0x350 l2cap_conn_add.part.0+0x12/0xa30 l2cap_chan_connect+0x110d/0x1b60 l2cap_sock_connect+0x310/0x530 Freed by task 99: hci_chan_del+0x11f/0x170 l2cap_conn_del+0x4f1/0x800 l2cap_connect_cfm+0x88c/0xd30 hci_conn_failed+0x150/0x250 hci_abort_conn_sync+0x3e3/0x800 hci_cmd_sync_run+0x7e/0xc0 hci_abort_conn+0x105/0x1f0 disconnect_sync+0x157/0x290 hci_cmd_sync_work+0x13c/0x290
両方のスケジューラにおいて、チャネル選択および送信中に既存のデバイスミutexを保持し、チャネル teardown と直列化してください。hci_link_tx_to()が同じmutexを取得するため、タイムアウト処理はクリティカルセクションの外に維持します。これにより、パケット送信全体にわたってRCU読取り側クリティカルセクションを拡張するのではなく、送信パスでスリープが可能になります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.