CVE-2026-99014 in Linux
Sumário
de VulDB • 24/10/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
Bluetooth: hci_sync: Corrige o tempo de vida do skb de comando durante a configuração da varredura (scan)
Durante a configuração da sincronização PA scan, `hci_le_set_ext_scan_param_sync()` obtém o endereço usado para a pesquisa PA_LINK em `hci_sent_cmd_data()`. O ponteiro retornado empresta armazenamento de sent_cmd ou req_skb, sem manter uma referência a nenhum dos skbs.
O worker de varredura (scan) é executado no req_workqueue enquanto hci_cmd_work() é executado na fila de trabalho separada do dispositivo. Após o worker de scan carregar sent_cmd, o worker de comando pode liberar e substituí-lo antes que `hci_sent_cmd_data()` dereference o skb. O payload do comando também pode ser liberado entre retornar da função auxiliar e comparar o endereço. A seção crítica RCU da pesquisa de conexão não protege o commando skb.
O KASAN relatou:
BUG: KASAN: slab-use-after-free em hci_sent_cmd_data+0x27c/0x2f0 Workqueue: hci0 hci_cmd_sync_work Call Trace: hci_sent_cmd_data+0x27c/0x2f0 hci_le_set_scan_param_sync+0x43a/0x850 hci_passive_scan_sync+0xb09/0x1460 hci_update_passive_scan_sync+0x47c/0x6e0 hci_le_pa_create_sync+0x200/0xa70 hci_cmd_sync_work+0x13c/0x290
Alocado pela tarefa 95: skb_clone+0x13f/0x340 hci_cmd_work+0x2a9/0x7e0
Liberado pela tarefa 95: kmem_cache_free+0xba/0x3a0 hci_cmd_work+0x29c/0x7e0
Use hdev->lock para serializar a captura do endereço com a substituição de sent_cmd. Proteja a substituição de req_skb e a limpeza de conclusão com o mesmo lock, pois a função auxiliar faz fallback para esse skb. Copie o endereço antes de liberar o lock e use a cópia para a pesquisa de conexão protegida por RCU existente. Libere o mutex antes de enviar ou aguardar comandos, preservando a ordem da pesquisa e da conclusão.
If you want to get best quality of vulnerability data, you may have to visit VulDB.