CVE-2026-72333 in Linux
요약
\~에 의해 VulDB • 2026. 08. 16.
리눅스 커널에서 다음 취약점이 해결되었습니다:
블루투스: L2CAP: 응답이 없는 명령어에 대한 tx ident 누수 수정
커밋 6c3ea155e5ee("Bluetooth: L2CAP: Fix not tracking outstanding TX ident")는 식별자 할당 방식을 IDA를 사용하도록 변경하여, 일치하는 응답 명령어가 수신될 때 l2cap_put_ident()에서 식별자를 해제했습니다.
그러나 응답이 정의되지 않은 명령어에 대해 할당된 식별자는 결코 해제되지 않습니다. 특히 L2CAP_LE_CREDITS는 LE CoC 채널의 수명 동안 반복적으로 전송되므로, 호스트로 데이터를 스트리밍하는 피어가 254개의 크레딧 패킷을 보내면 1-255 ident 범위가 고갈됩니다. 그 이후부터 l2cap_get_ident()이 실패합니다:
kernel: Bluetooth: Unable to allocate ident: -28
그리고 모든 후속 L2CAP_LE_CREDITS 패킷은 무효한 식별자(0)로 전송되며, 이는 유효하지 않습니다(Core Spec Vol 3 Part A Section 4: "Signaling identifier 0x00 is an invalid identifier and shall never be used in any command"). ident을 검증하는 원격 스택들은 이러한 명령어를 드롭하고, 새로운 크레딧을 받지 못하며 채널이 영구적으로 중단됩니다. 기본 소켓 버퍼를 사용할 경우 이는 약 0.5MB의 수신 데이터 이후에 발생합니다(정확한 양은 소켓 수신 버퍼에 따라 다름):
< ACL Data TX: Handle 2048 flags 0x00 dlen 12 LE L2CAP: LE Flow Control Credit (0x16) ident 0 len 4 Source CID: 64 Credits: 1
응답이 결코 식별자를 해제하지 않으므로, L2CAP_LE_CREDITS 전송 직후에 식별자를 해제하십시오. chan->ident 대신 로컬 변수를 사용하여 EXT_FLOWCTL 채널이 대기 중인(ident 예: 보류 중인 재구성) ident이 크레딧 패킷으로 인해 덮어씌워지지 않도록 하십시오.
또한 l2cap_put_ident()에 누락된 L2CAP_LE_CONN_RSP 케이스를 추가하여, 응답이 도착할 때 외부로 전송되는 L2CAP_LE_CONN_REQ 명령어에 대해 할당된 ident들이 해제되도록 하십시오.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.