CVE-2026-99013
Beschrijving NL
In de Linux-kernel is de volgende kwetsbaarheid verholpen:
Bluetooth: ISO: Gelijktijdige BIS-luisteraarconfiguratie weigeren
iso_sock_listen() verbreekt de socketvergrendeling voordat iso_listen_bis() wordt aangeroepen.
om de hdev->lock-volgorde te behouden. Twee gelijktijdige listen()-aanroepen op
Dezelfde broadcast-socket kan dus beide BT_BOUND waarnemen. Aanroeper
A kan verbinding maken met connA en de vergrendelingen ontgrendelen, waarna beller B de verbinding kan verkrijgen.
en koppel connB voordat A BT_LISTEN publiceert. __iso_chan_add() controleert of connB al een socket heeft, maar niet
of het stopcontact al een verbinding heeft. De tweede bevestiging
overschrijft iso_pi(sk)->conn, waardoor de connA-referentie lekt en achterblijft
connA->sk intact. Socket-detection volgt op connB, dus latere gebeurtenissen op
connA kan een verouderde sockettoegang veroorzaken. Controleer BT_BOUND opnieuw en zorg ervoor dat iso_pi(sk)->conn NULL is na het nemen van de verbinding.
zowel het HCI-apparaat als de socket worden vergrendeld in iso_listen_bis(). De verbinding
De controle omvat ook het tijdsinterval tussen het bijvoegen en publiceren van de gegevens.
BT_LISTEN. Verwerp een concurrerende configuratie met -EBADFD via de bestaande
Ontgrendel het pad voordat u een andere verbinding toewijst. Een opgenomen KASAN-rapport van een geïnstrumenteerde kernel toont:
BUG: KASAN: slab-use-after-free in iso_sock_hold+0x119/0x1f0
Oproeptracering:
iso_sock_hold+0x119/0x1f0
iso_conn_del+0xe4/0x270
hci_disconn_complete_evt+0x351/0x8c0
hci_event_packet+0x71b/0xb20
hci_rx_work+0x293/0x730
Toegewezen door taak 93:
sk_prot_alloc+0x113/0x220
sk_alloc+0x2b/0x6d0
bt_sock_alloc+0x29/0x370
iso_sock_alloc.constprop.0+0x19/0x300
iso_sock_create+0x94/0x100
Bevrijd door taak 93:
kfree+0x121/0x3c0
__sk_destruct+0x42b/0x540
iso_sock_release+0x29d/0x340
__sock_release+0xa1/0x260
sock_close+0x10/0x20
Origineel (Engels) tonen
In the Linux kernel, the following vulnerability has been resolved:
Bluetooth: ISO: Reject concurrent BIS listener setup
iso_sock_listen() drops the socket lock before calling iso_listen_bis()
to preserve the hdev->lock ordering. Two concurrent listen() calls on
the same broadcast socket can therefore both observe BT_BOUND. Caller
A can attach connA and release the locks, then caller B can acquire
them and attach connB before A publishes BT_LISTEN.
__iso_chan_add() checks whether connB already has a socket, but not
whether the socket already has a connection. The second attachment
overwrites iso_pi(sk)->conn, leaking the connA reference and leaving
connA->sk intact. Socket teardown follows connB, so later events on
connA can cause a stale socket access.
Recheck BT_BOUND and require iso_pi(sk)->conn to be NULL after taking
both the HCI device and socket locks in iso_listen_bis(). The connection
check also covers the interval between attachment and publication of
BT_LISTEN. Reject a competing setup with -EBADFD through the existing
unlock path before allocating another connection.
A recorded KASAN report from an instrumented kernel shows:
BUG: KASAN: slab-use-after-free in iso_sock_hold+0x119/0x1f0
Call Trace:
iso_sock_hold+0x119/0x1f0
iso_conn_del+0xe4/0x270
hci_disconn_complete_evt+0x351/0x8c0
hci_event_packet+0x71b/0xb20
hci_rx_work+0x293/0x730
Allocated by task 93:
sk_prot_alloc+0x113/0x220
sk_alloc+0x2b/0x6d0
bt_sock_alloc+0x29/0x370
iso_sock_alloc.constprop.0+0x19/0x300
iso_sock_create+0x94/0x100
Freed by task 93:
kfree+0x121/0x3c0
__sk_destruct+0x42b/0x540
iso_sock_release+0x29d/0x340
__sock_release+0xa1/0x260
sock_close+0x10/0x20