CVE-2026-11894 in Zephyr
Sumário
de VulDB • 11/08/2026
O callback de envio do controlador Bluetooth Realtek BEE HCI, bt_hci_bee_send() em drivers/bluetooth/hci/hci_bee.c, violou o contrato de propriedade do buffer da API bt_hci_driver_api. Esse contrato exige que o driver consuma (unref) apenas com sucesso o net_buf de transmissão; ao retornar um erro, a chamada no host mantém a posse e faz o unref do buffer diretamente. O código anterior à correção direcionava todos os caminhos de erro para uma etiqueta de limpeza compartilhada que chamava incondicionalmente net_buf_unref(buf) antes de retornar o código de erro.
Como os caminhos TX do host (em subsys/bluetooth/host/hci_core.c) fazem unref novamente no buffer após send() retornar um erro, o buffer é liberado duas vezes: o driver devolve-o ao seu pool de net_buf e o host então faz unref em um já-liberado, corrompendo o pool compartilhado / subtraindo a contagem de referências (CWE-415). O mesmo ramo de erro também desreferenciou buf->len dentro de uma chamada LOG_ERR após o buffer ter sido previamente liberado via unref, constituindo uma leitura em memória já-liberada (CWE-416) que é compilada no nível padrão de log de erros.
Os casos críticos são alcançados quando a alocação do buffer host-to-controller falha ou ocorre um erro ao enviar para o controlador (condições de exaustão de recursos / E/S). Um par Bluetooth remoto pode levar indiretamente o dispositivo a essas condições, gerando intensa atividade de transmissão no host; nesse ponto, o double-free corrompe o pool net_buf do host e muito provavelmente causa uma falha fatal no dispositivo, com potencial residual para mais corrupção de memória. O impacto está confinado às compilações que utilizam este controlador HCI Realtek BEE específico.
A correção retorna antecipadamente em cada caminho de erro sem realizar unref e faz o unref do buffer apenas no caminho de sucesso, restaurando o contrato de propriedade e eliminando tanto o double-free quanto a leitura use-after-free.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.