CVE-2026-99014
Beschrijving NL
In de Linux-kernel is de volgende kwetsbaarheid verholpen:
Bluetooth: hci_sync: Correctie van de levensduur van het commando skb tijdens de scanconfiguratie
Tijdens de PA-synchronisatiescan-configuratie verkrijgt hci_le_set_ext_scan_param_sync() de
adres gebruikt voor de PA_LINK-lookup vanuit hci_sent_cmd_data().
De geretourneerde pointer leent geheugen van sent_cmd of req_skb, zonder
een verwijzing naar skb vasthoudend. De scanworker draait op req_workqueue terwijl hci_cmd_work() draait op de
aparte werkrij voor apparaten. Nadat de scanworker sent_cmd heeft geladen,
De command worker kan het vrijgeven en vervangen voordat hci_sent_cmd_data() wordt aangeroepen.
dereferenceert de skb. De commandopayload kan ook worden vrijgegeven tussen
terugkerend van de helper en het adres vergelijkend. De verbinding
De kritieke sectie van de RCU van lookup beschermt het commando skb niet. KASAN meldde:
BUG: KASAN: slab-use-after-free in hci_sent_cmd_data+0x27c/0x2f0
Werkrij: hci0 hci_cmd_sync_work
Oproeptracering:
hci_sent_cmd_data+0x27c/0x2f0
hci_le_set_scan_param_sync+0x43a/0x850
hci_passive_scan_sync+0xb09/0x1460
hci_update_passive_scan_sync+0x47c/0x6e0
hci_le_pa_create_sync+0x200/0xa70
hci_cmd_sync_work+0x13c/0x290
Toegewezen door taak 95:
skb_clone+0x13f/0x340
hci_cmd_work+0x2a9/0x7e0
Vrijgelaten door taak 95:
kmem_cache_free+0 xba/0x3a0
hci_cmd_work+0x29c/0x7e0
Gebruik hdev->lock om de adresmomentopname te serialiseren met sent_
cmd-vervanging. Bescherm de vervanging en voltooiing van req_skb met
hetzelfde slot omdat de helper terugvalt op die skb. Kopieer de
adres voordat u de vergrendeling opheft en gebruik de kopie voor het bestaande adres
RCU-beveiligde verbindingsopzoeking. Geef de mutex vrij voordat u verzendt of
Wachten op opdrachten, waarbij de volgorde van opzoeken en voltooien behouden blijft.
Origineel (Engels) tonen
In the Linux kernel, the following vulnerability has been resolved:
Bluetooth: hci_sync: Fix command skb lifetime during scan setup
During PA sync scan setup, hci_le_set_ext_scan_param_sync() gets the
address used for the PA_LINK lookup from hci_sent_cmd_data(). The
returned pointer borrows storage from sent_cmd or req_skb, without
holding a reference to either skb.
The scan worker runs on req_workqueue while hci_cmd_work() runs on the
separate device workqueue. After the scan worker loads sent_cmd, the
command worker can free and replace it before hci_sent_cmd_data()
dereferences the skb. The command payload can also be freed between
returning from the helper and comparing the address. The connection
lookup's RCU critical section does not protect the command skb.
KASAN reported:
BUG: KASAN: slab-use-after-free in hci_sent_cmd_data+0x27c/0x2f0
Workqueue: hci0 hci_cmd_sync_work
Call Trace:
hci_sent_cmd_data+0x27c/0x2f0
hci_le_set_scan_param_sync+0x43a/0x850
hci_passive_scan_sync+0xb09/0x1460
hci_update_passive_scan_sync+0x47c/0x6e0
hci_le_pa_create_sync+0x200/0xa70
hci_cmd_sync_work+0x13c/0x290
Allocated by task 95:
skb_clone+0x13f/0x340
hci_cmd_work+0x2a9/0x7e0
Freed by task 95:
kmem_cache_free+0xba/0x3a0
hci_cmd_work+0x29c/0x7e0
Use hdev->lock to serialize the address snapshot with sent_cmd
replacement. Protect req_skb replacement and completion cleanup with
the same lock because the helper falls back to that skb. Copy the
address before releasing the lock and use the copy for the existing
RCU-protected connection lookup. Release the mutex before sending or
waiting for commands, preserving the lookup and completion ordering.