CVE-2026-11894 in Zephyr
요약
\~에 의해 VulDB • 2026. 08. 11.
Realtek BEE Bluetooth HCI 드라이버의 send 콜백인 `drivers/bluetooth/hci/hci_bee.c` 내 `bt_hci_bee_send()` 함수가 `bt_hci_driver_api` 버퍼 소유권 계약 위반을 초래했습니다. 해당 계약은 전송(net_buf)이 성공한 경우에만 드라이버가 이를 소비(unref)해야 하며, 오류 반환 시 호스트 호출자가 소유권을 유지하고 직접 unref를 수행하도록 요구합니다. 수정 전 코드는 모든 오류 경로를 공유된 정리 라벨로 유도하여 에러 코드 반환 전에 `net_buf_unref(buf)`을 무조건적으로 호출했습니다.
호스트 TX 경로(`subsys/bluetooth/host/hci_core.c` 내)는 send()가 오류를 반환한 후 버퍼에 대해 다시 unref를 수행하므로, 버퍼가 두 번 해제됩니다: 드라이버가 이를 net_buf 풀로 되돌리고 호스트가 이미 해지된 버퍼를 unref하여 공유 풀을 손상시키거나 참조 카운트 언더플로우(CWE-415)를 유발합니다. 동일한 오류 분기에서는 추가로 버퍼가 이미 unref'd 된 후 `LOG_ERR` 호출 내부에서 `buf->len`을 역참조했는데, 이는 기본 에러 로그 레벨로 컴파일되는 해지된 메모리 읽기(CWE-416)입니다.
실패하는 엣지는 컨트롤러의 호스트-컨트롤러 버퍼 할당 실패 또는 컨트롤러 전송 실패(자원 고갈/IO 조건) 시 도달됩니다. 원격 Bluetooth 피어는 과도한 호스트 전송 활동을 유발함으로써 이러한 조건으로 기기를 유도할 수 있으며, 이때 double-free로 인해 호스트 net_buf 풀이 손상되고 기기 충돌이 발생할 가능성이 높으며, 추가 메모리 손상의 잔여 잠재력도 있습니다. 영향력은 이 특정 Realtek BEE HCI 드라이버를 사용하는 빌드에만 국한됩니다.
수정된 코드는 각 오류 경로에서 unref 없이 조기에 반환하고 성공 경로에서만 버퍼에 대해 unref하여 소유권 계약을 복원하며, double-free와 use-after-free 읽기를 모두 제거합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.