CVE-2026-98809 in Linux
要約
〜によって VulDB • 2026年10月18日
Linuxカーネルにおいて、以下の脆弱性が修正されました：
Bluetooth: hci_sync: ユニ登録時にcmd_syncのバックログをフラッシュしない
hci_unregister_dev()はcmd_workとcmd_timerを無効にした後、hci_cmd_sync_clear()を呼び出します。この関数内のcancel_work_sync()は、hci_cmd_sync_work()が返るまで待機します。そのワークキューエントリはcmd_sync_work_listからデキューされ実行されます。cmd_workが無効化されているためコントローラには何も到達せず、各キューイングされたHCIコマンドはHCi_CMD_TIMEOUT（2秒）の全時間を待ちます。
バックログに上限がありません。ユーザー空間では、応答しないコントローラに対してMGMT_OP_GET_CLOCK_INFOなどのMGMTコマンドを継続的にキューイングできます。/dev/vhciをクローズすると、vhci_release()内でバックログ * 2秒の間ブロックされます：
INFO: task syz-executor:5749 blocked for more than 143 seconds. cancel_work_sync hci_cmd_sync_clear hci_unregister_dev vhci_release
ローカル環境での再現では、バックログに5000エントリ以上が含まれており、これは数時間ものハング（応答停止）を引き起こします。
HCI_UNREGISTERフラグが設定されたらワークキューが新しいエントリを受け取らないようにし、キャンセルする前に待機中の要求を-ENODEVでウェイクアップさせます。残ったエントリはhci_cmd_sync_clear()内の既存のスイープ処理によって-ECANCELEDとして破棄されます。これらはワークが停止するまでリストに残るため、hci_cmd_sync_dequeue()および関連関数はそれらを依然として認識します。既に実行中のコールバックがさらにコマンドを発行する場合があり得ますが、これは登録解除を残りのコマンドごとに最大1つのタイムアウト分だけ遅らせるだけであり、バックログ全体分の遅延にはなりません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.