CVE-2026-98735 in Linux
Tóm tắt
Bởi VulDB • 18/10/2026
Trong kernel Linux, các lỗ hổng sau đây đã được khắc phục:
Bluetooth: hci_core: Thực hiện tuần tự hóa việc lập lịch ACL với quá trình xóa kênh (channel)
hci_chan_sent() chọn một kênh dưới cơ chế RCU nhưng giải phóng khóa đọc trước khi truy cập chan->conn và trả về kênh. Sau đó, các bộ lập lịch ACL và LE sử dụng hàng đợi gói tin của nó và cập nhật các bộ đếm truyền phát mà không có bất kỳ biện pháp bảo vệ nào chống lại việc xóa kênh.
Sau khi TX chọn một kênh và giải phóng RCU, thời gian chờ lệnh ngắt kết nối trên workqueue yêu cầu riêng biệt có thể chạy hci_conn_failed() và l2cap_conn_del(). Sau đó, hci_chan_del() có thể hủy liên kết đến kênh, hoàn thành synchronize_rcu(), làm sạch hàng đợi của nó và giải phóng bộ nhớ trước khi TX tiếp tục. Điều này gây ra lỗi use-after-free (sử dụng sau khi giải phóng) cả trong hci_chan_sent() lẫn các hàm gọi nó.
KASAN đã báo cáo:
BUG: KASAN: slab-use-after-free in hci_chan_sent+0x892/0x9b0 Workqueue: hci0 hci_tx_work Call Trace: hci_chan_sent+0x892/0x9b0 hci_tx_work+0x5e6/0xb70 Allocated by task 91: hci_chan_create+0xe3/0x350 l2cap_conn_add.part.0+0x12/0xa30 l2cap_chan_connect+0x110d/0x1b60 l2cap_sock_connect+0x310/0x530 Freed by task 99: hci_chan_del+0x11f/0x170 l2cap_conn_del+0x4f1/0x800 l2cap_connect_cfm+0x88c/0xd30 hci_conn_failed+0x150/0x250 hci_abort_conn_sync+0x3e3/0x800 hci_cmd_sync_run+0x7e/0xc0 hci_abort_conn+0x105/0x1f0 disconnect_sync+0x157/0x290 hci_cmd_sync_work+0x13c/0x290
Giữ mutex thiết bị hiện có trong suốt quá trình chọn kênh và truyền phát trong cả hai bộ lập lịch để thực hiện tuần tự hóa chúng với việc tháo dỡ (teardown) kênh. Giữ xử lý thời gian chờ bên ngoài các đoạn mã quan trọng (critical sections) vì hci_link_tx_to() cũng yêu cầu cùng một mutex. Điều này cũng cho phép đường dẫn truyền phát có thể ngủ, khác với việc mở rộng phần đọc RCU critical section trong suốt quá trình gửi gói tin.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.