CVE-2026-10680

subsys/bluetooth/host/classic/l2cap_br.c faylındakı Classic (BR/EDR) L2CAP siqnalizasiya emalçıları l2cap_br_conf_req() və l2cap_br_conf_rsp() minimum əmr ölçüsünü len (L2CAP siqnalizasiya başlığından gələn hər əmr üçün məlumat uzunluğu) əvəzinə buf->len (qəbul edilmiş bütün PDU-da qalan baytlar) ilə yoxlayırdı. Bir PDU-ya bir neçə siqnalizasiya əmri yığıla bildiyi üçün buf->len əmrin len dəyərindən böyük ola bilər. Hücumçu konfiqurasiya sorğusu strukturundan kiçik başlıq uzunluğuna (məs. 0) malik CONF_REQ əmri, ardınca buf->len-in hələ də yoxlamanı ödədiyi başqa bir əmr göndərə bilər. Bundan sonra yoxlama səhvən keçir və opt_len = len - sizeof(*req) ifadəsi uint16_t tipini 0xFFFF-ə yaxın dəyərə qədər aşağı daşdırır (underflow). opt_len-in buf->len ilə müqayisəsi qoruyucusu olmayan konfiqurasiya-seçənək dövrəsi daha sonra heç bir işləmə vaxtı sərhəd yoxlaması aparmayan net_buf pull primitivlərindən istifadə edərək hovuzdan ayrılmış ACL qəbul buferinin sonundan çox uzağa gedir və host yaddaşının sərhəddən kənar oxunmasına, sərhəddən kənar seçənək baytları MTU və ya flush-timeout seçənəyini kodlaşdırdıqda isə sərhəddən kənar yazmaya səbəb olur. BR/EDR siqnalizasiya kanalı cütləşmə/şifrələmədən əvvəl emal olunur və SDP kimi L0 xidmətinə L2CAP kanalı cütləşmə olmadan açıla bilər, buna görə ACL bağlantısı qura bilən radio diapazonundakı autentifikasiyadan keçməmiş həmyaşıd bu qüsuru işə sala bilər ki, bu da yaddaşın korlanmasına və xidmətdən imtinaya (host/cihazın çökməsinə) gətirib çıxarır. Qüsur v4.4.0 daxil olmaqla buraxılmış versiyalarda mövcuddur. Düzəliş hər iki emalçıda buf->len əvəzinə len ilə yoxlama aparır.