CVE-2026-11894

Realtek BEE Bluetooth HCI drayverinin `drivers/bluetooth/hci/hci_bee.c` faylındakı `bt_hci_bee_send()` göndərmə geri çağırışı (callback), `bt_hci_driver_api` bufer mülkiyyəti müqaviləsini pozmuşdur. Həmin müqavilə tələb edir ki, drayver ötürmə `net_buf`-unu yalnız uğurlu olduqda istifadə etsin (unref); xəta baş verdikdə isə mülkiyyət host çağıran tərəfdə qalmalı və buferi özü azad etməlidir (unref). Düzəlişdən əvvəlki kod bütün xəta yollarını ortaq bir təmizləmə etiketi vasitəsilə yönləndirirdi və xəta kodu qaytarmazdan əvvəl şərtsiz olaraq `net_buf_unref(buf)` funksiyasını çağırırdı. Host TX yolları (`subsys/bluetooth/host/hci_core.c` faylında) `send()` funksiyası xəta qaytardıqdan sonra buferi yenidən azad etdiyi üçün, bufer iki dəfə azad edilir: drayver onu öz `net_buf` hovuzuna qaytarır və daha sonra host artıq azad edilmiş buferi unref edərək ortaq hovuza zərər verir / istinad sayının mənfi qiymət almasına səbəb olur (CWE-415). Eyni xəta budağı əlavə olaraq, bufer artıq azad edildikdən sonra `LOG_ERR` çağırışı daxilində `buf->len` dəyərinə müraciət edirdi; standart xəta loq səviyyəsində kompilyasiya olunan bu hal azad edilmiş yaddaşın oxunmasıdır (CWE-416). Səhvli sahələrə kontrollerin host-kontroller bufer ayırması uğursuz olduqda və ya kontrollerin göndərmə prosesi xəta ilə nəticələndikdə (resursların tükənməsi / giriş-çıxış şərtləri) çatılır. Uzaqdakı Bluetooth qarşı tərəfi, intensiv host ötürmə fəaliyyətinə səbəb olmaqla cihazı dolayısı ilə bu şərtlərə gətirə bilər; bu zaman ikiqat azad etmə (double-free) host `net_buf` hovuzunu korlayır və böyük ehtimalla cihazın çökməsinə səbəb olur, həmçinin digər yaddaş korlanmaları potensialı yaradır. Təsir yalnız bu konkret Realtek BEE HCI drayverindən istifadə edən versiyalarla məhdudlaşır. Düzəliş, hər bir xəta yolundan unref etmədən erkən çıxışı təmin edir və buferi yalnız uğurlu yolda azad edir, beləliklə mülkiyyət müqaviləsini bərpa edərək həm ikiqat azad etməni, həm də azad edilmisdən sonra istifadə (use-after-free) oxumasını aradan qaldırır.