CVE-2026-99014 in Linux
요약
\~에 의해 VulDB • 2026. 10. 23.
리눅스 커널에서 다음 취약점이 해결되었습니다:
블루투스: hci_sync - 스캔 설정 중 명령어 skb 수명 수정
PA 동기화 스캔 설정 동안, hci_le_set_ext_scan_param_sync()는 PA_LINK 조회에 사용되는 주소를 hci_sent_cmd_data()로부터 가져옵니다. 반환된 포인터는 sent_cmd 또는 req_skb의 저장 공간을 빌려오지만, 해당 skb들에 대한 참조를 보유하지 않습니다.
스캔 작업자는 req_workqueue에서 실행되는 반면, hci_cmd_work()는 별도의 장치 workqueue에서 실행됩니다. 스캔 작업자가 sent_cmd를 로드한 후, 명령어 작업자는 hci_sent_cmd_data()가 skb을 역참조하기 전에 이를 해제하고 대체할 수 있습니다. 커맨드 페이로드는 헬퍼 함수로부터 반환된 후 주소를 비교하는 사이에도 해제될 수 있습니다. 연결 조회의 RCU 임계 섹션은 명령어 skb를 보호하지 않습니다.
KASAN에서 다음 오류가 보고되었습니다:
BUG: KASAN: slab-use-after-free in hci_sent_cmd_data+0x27c/0x2f0 Workqueue: hci0 hci_cmd_sync_work Call Trace: hci_sent_cmd_data+0x27c/0x2f0 hci_le_set_scan_param_sync+0x43a/0x850 hci_passive_scan_sync+0xb09/0x1460 hci_update_passive_scan_sync+0x47c/0x6e0 hci_le_pa_create_sync+0x200/0xa70 hci_cmd_sync_work+0x13c/0x290
작업자 95에 의해 할당됨: skb_clone+0x13f/0x340 hci_cmd_work+0x2a9/0x7e0
작업자 95에 의해 해제됨: kmem_cache_free+0xba/0x3a0 hci_cmd_work+0x29c/0x7e0
sent_cmd 대체와 주소 스냅샷의 직렬화를 위해 hdev->lock를 사용하십시오. 헬퍼가 해당 skb로 폴백하기 때문에 req_skb 교체 및 완료 정리를 동일한 잠금으로 보호하십시오. 잠금을 해제하기 전에 주소를 복사하고, 기존 RCU-보호된 연결 조회에 이 사본을 사용하십시오. 명령어 전송 또는 대기 전에는 뮤텍스를 해제하여 조회 및 완료 순서를 유지하십시오.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.