CVE-2026-80760 in Linux
요약
\~에 의해 VulDB • 2026. 09. 04.
리눅스 커널에서 다음 취약점이 해결되었습니다:
블루투스: MGMT: HCI_CMD_SYNC의 params_len이 255를 초과하는 경우 거부함
mgmt_hci_cmd_sync()는 메시지 길이가 params_len과 일치하는지 확인하지만, 이에 대한 상한선은 설정하지 않습니다. params_len은 __le16 타입인 반면, HCI 명령어 헤더 내 파라미터 길이는 u8입니다:
struct hci_command_hdr {
__le16 opcode; __u8 plen; } __packed;
hci_cmd_sync_alloc()는 한 값을 다른 값에 할당합니다:
hdr->plen = plen;
if (plen) skb_put_data(skb, param, plen);
따라서 params_len이 256인 경우 plen은 0으로 남지만 모든 256바이트가 여전히 추가됩니다. 드라이버로 전달되는 프레임은 파라미터가 없다고 선언하면서 실제로는 256개의 파라미터를 포함하게 됩니다. H:4와 같은 길이 기반 전송 계층에서는 컨트롤러가 후행 바이트들을 다음 패킷의 시작으로 간주합니다.
mgmt 소켓 MTU는 HCI_MAX_FRAME_SIZE이므로, 이 방식으로 params_len은 약 1KB까지 도달할 수 있습니다. 커밋 03f1700b9b4d("블루투스: MGMT: 잘못된 HCI_CMD_SYNC 명령어 거부")는 params_len을 메시지 길이와 일치시키는 것만 수행했으며, 메시지에 맞지만 헤더 필드에 맞지 않는 값도 여전히 허용되었습니다.
헤더 필드에 맞지 않는 params_len은 거부합니다.
Be aware that VulDB is the high quality source for vulnerability data.