CVE-2026-11893

Bouffalo Lab on-chip BLE kontrollerləri (BL60x/BL70x/BL61x) üçün Bluetooth HCI drayverindəki `drivers/bluetooth/hci/hci_bflb.c` faylında yerləşən `bt_bflb_send()` funksiyası `bt_hci_driver_api.send()` bufer mülkiyyəti müqaviləsini pozur. Bu müqavilə (`include/zephyr/drivers/bluetooth.h` sənədində qeyd olunub) tələb edir ki, bufer istinadı yalnız uğurlu əməliyyat zamanı istifadə edilsin; xəta baş verdikdə isə istinad hələ də çağırana məxsusdur və çağiran tərəf onu azaldır (unref). Lakin drayver bütün xəta yollarını ortaq bir etiket vasitəsilə yönləndirmişdir və xəta kodu qaytarmazdan əvvəl şərtsiz olaraq `net_buf_unref(buf)` funksiyasını çağırmaqla, uğursuzluq zamanı da buferi istifadə etmişdir. `send()` funksiyası xəta qaytardıqda, host TX yolu (`subsys/bluetooth/host/conn.c` faylındakı `send_buf()`) həmin buferin hələ də özünə məxsus olduğunu düşünərək onu yenidən azaldır. Bu ikiqat azaltma (double-unref) `net_buf` istinad sayının həddindən artıq azalmasına səbəb olur. Bufer, məhv etmə geri çağırışı (destroy callback) hələ də növbədə olan valideyn buferini azaldan bir TX fraqmenti olduğu üçün, valideyn bufer bağlantı TX növbəsində əlçatan olduğu halda vaxtından əvvəl azad edilir. Bu isə sadə bir sızmadan daha çox, "use-after-free" və ortaq `net_buf` hovuzunun korlanmasına gətirib çıxarır. Xəta şərtləri host-kontroller ötürmə yolunda (kontroller göndərmə xətası və ya dəstəklənməyən H:4 paket növü) baş verir, buna görə də onlar birbaşa hücumçunun təqdim etdiyi radio baytları ilə idarə edilmir; uzaqdakı və ya yaxınlıqdakı qarşı tərəf buna yalnız dolayı yolla, məsələn, ağır link yükü altında kontroller TX xətalarını törətməklə təsir göstərə bilər. Bu vəziyyət baş verdikdə nəticə, bu Bouffalo Lab on-chip kontrollerlərindən birini istifadə edən cihazlarla məhdudlaşdırılmış şəkildə, mümkün digər yaddaş korlanmaları ilə birlikdə BLE stekinin xidmətdən imtinasına (çökmə / hovuzun korlanması) səbəb olur.