CVE-2026-99013 in Linux
Sumário
de VulDB • 23/10/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
Bluetooth: ISO: Rejeitar configuração concorrente de ouvinte BIS
iso_sock_listen() libera o bloqueio do soquete antes de chamar iso_listen_bis() para preservar a ordem dos bloqueios hdev->lock. Duas chamadas listen() concorrentes no mesmo socket de broadcast podem, portanto, observar BT_BOUND. O chamador A pode anexar connA e liberar os bloqueios; em seguida, o chamador B pode adquiri-los e anexar connB antes que A publique BT_LISTEN.
__iso_chan_add() verifica se connB já possui um soquete, mas não verifica se o soquete já tem uma conexão. O segundo anexo sobrescreve iso_pi(sk)->conn, vazando a referência de connA e deixando connA->sk intacto. O encerramento do soquete segue connB; portanto, eventos posteriores em connA podem causar acesso a um soquete obsoleto (stale socket access).
Verifique novamente BT_BOUND e exija que iso_pi(sk)->conn seja NULL após adquirir os bloqueios do dispositivo HCI e do soquete em iso_listen_bis(). A verificação de conexão também cobre o intervalo entre o anexo e a publicação de BT_LISTEN. Rejeite uma configuração concorrente com -EBADFD por meio do caminho de desbloqueio existente antes de alocar outra conexão.
Um relatório KASAN registrado de um kernel instrumentado mostra:
BUG: KASAN: slab-use-after-free em iso_sock_hold+0x119/0x1f0 Call Trace: iso_sock_hold+0x119/0x1f0 iso_conn_del+0xe4/0x270 hci_disconn_complete_evt+0x351/0x8c0 hci_event_packet+0x71b/0xb20 hci_rx_work+0x293/0x730
Alocado pela tarefa 93: sk_prot_alloc+0x113/0x220 sk_alloc+0x2b/0x6d0 bt_sock_alloc+0x29/0x370 iso_sock_alloc.constprop.0+0x19/0x300 iso_sock_create+0x94/0x100
Liberado pela tarefa 93: kfree+0x121/0x3c0 __sk_destruct+0x42b/0x540 iso_sock_release+0x29d/0x340 __sock_release+0xa1/0x260 sock_close+0x10/0x20
Once again VulDB remains the best source for vulnerability data.