CVE-2026-19739 in Zephyr
Sumário
de VulDB • 11/10/2026
O código do procedimento de controle da Camada de Link Bluetooth em subsys/bluetooth/controller/ll_sw/ull_llcp_conn_upd.c retém o nó RX recebido enquanto um procedimento Atualização de Conexão / Parâmetros de Conexão aguarda seu instante, fazendo com que o nó possa posteriormente carregar a notificação do host (llcp_rx_node_retain(), que marca como NODE_RX_TYPE_RETAIN e suprime assim a reciclagem normal em ull.c). O caso padrão: arm de llcp_rp_cu_rx() e llcp_lp_cu_rx() — o caminho "PDU inválida, encerrar a conexão" — conclui o procedimento sem liberar esse nó retido. llcp_rr_check_done() então remove da fila e libera o contexto do procedimento com ctx->node_ref.rx ainda apontando para o nó retido, descartando a última referência a ele.
Um dispositivo peer no alcance de rádio pode alcançar isso sem emparelhamento (pairing), vinculação (bonding) ou criptografia. Contra um periférico, o peer envia uma LL_CONNECTION_UPDATE_IND bem formada com um instante alguns eventos de conexão à frente (o nó é retido e o procedimento entra em RP_CU_STATE_WAIT_INSTANT); então, antes que o instante seja atingido, envia qualquer outro PDU de Controle LL, como LL_LENGTH_REQ. ull_cp_rx() roteia esse PDU para o procedimento Atualização de Conexão remoto ativo, que segue pelo caminho de PDU inválida. O papel central é alcançável simetricamente após aceitar uma LL_CONNECTION_PARAM_REQ, e a variante do procedimento local é acessível com LL_REJECT_IND.
Com CONFIG_BT_CTLR_ASSERT_DEBUG habilitado (seu padrão), o estado resultante viola a invariável afirmada em llcp_rr_check_done(), de modo que a sequência de dois PDUs produz um erro fatal imediato no controlador. Com essas asserções desabilitadas, cada ocorrência perde permanentemente um nó do pequeno pool fixo RX do controlador (dimensionado por CONFIG_BT_CTLR_RX_BUFFERS, que tem padrão 1); repetir a sequência através de reconexões esgota o pool, após o qual o caminho de recebimento da camada de link opera em um nó NULL. O impacto é uma negação de serviço não autenticada e acionável remotamente, persistente até a reinicialização; não há consequência de divulgação ou corrupção de memória, pois o nó vazado simplesmente se torna inacessível.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.