CVE-2026-10654

Zephyr Bluetooth Classic RFCOMM host stekindəki (subsys/bluetooth/host/classic/rfcomm.c) yarış vəziyyəti (race condition), eyni vaxtda baş verən ikitərəfli sessiya kəsilməsini yanlış idarə edir. Yerli cihaz sessiyanın ləğvini başlatdıqda (state BT_RFCOMM_STATE_DISCONNECTING, DISC göndərilib, RTX taymeri aktivdir) və qoşulmuş qarşı tərəf eyni zamanda dlci 0 üçün öz DISC freymini göndərdikdə, rfcomm_handle_disc() funksiyası rfcomm_session_disconnected()-i çağırır ki, bu da bt_l2cap_chan_disconnect()-i heç vaxt çağırmadan sessiyanı şərtsiz olaraq BT_RFCOMM_STATE_DISCONNECTED vəziyyətinə keçirir. Bərpa taymerinin də ləğv edilməsi və sonrakı UA mesajının DISCONNECTED vəziyyətində nəzərə alınmaması səbəbindən sessiya daimi olaraq bloklanır: alt L2CAP kanalı heç vaxt azad edilmir və sabit bt_rfcomm_pool[CONFIG_BT_MAX_CONN] massivindəki sessiya yuvası heç vaxt geri qaytarılmır (onun conn göstəricisi təyin olunmuş halda qalır). Həmin bağlantıda növbəti bt_rfcomm_dlc_connect() çağırışları etibarsız sessiya vəziyyəti səbəbindən -EINVAL xətası ilə uğursuz olur, beləliklə həmin qarşı tərəf üçün RFCOMM xidməti imtina edilir və bunun təkrarlanması sessiya hovuzunu tükəndirə bilər. DISC freymi efir vasitəsilə qarşı tərəf tərəfindən idarə olunur, lakin istismar üçün qarşı tərəfin DISC mesajının yerli cihaz tərəfindən başladılmış kəsilmə ilə toqquşması tələb olunur (yüksək mürəkkəblikli zamanlama yarışı). Təsir yalnız əlçatanlıq/resurs sızıntısı ilə məhdudlaşır; yaddaş təhlükəsizliyi, konfidensiallıq və ya bütövlüyə dair heç bir nəticə yoxdur. Defekt buraxılmış versiyalarda mövcuddur (v4.4.0 və daha erkən versiyalarda var). Düzəliş, düzgün L2CAP ləğv yolunu qoruyaraq, yalnız sessiya artıq DISCONNECTING vəziyyətində olmadıqda onu DISCONNECTED vəziyyətinə keçirir.