CVE-2026-15460

subsys/bluetooth/host/classic/l2cap_br.c faylındakı Bluetooth Classic (BR/EDR) L2CAP qəbul idarəçisi bt_l2cap_br_recv(), hədəf kanalın BT_L2CAP_CONNECTED vəziyyətinə çatdığını yoxlamadan, daxil olan məlumat PDU-larını yalnız təyinat kanalı ID-sinə əsasən yönləndirmişdir. Dinamik kanala onun RX CID-si təyin edilir və konfiqurasiya tamamlanmamış, təhlükəsizlik tələb edən PSM-lər üçün isə qarşı tərəf autentifikasiya edilməmişdən əvvəl (l2cap_br_conn_req()), həmin kanal hələ BT_L2CAP_CONNECTING (və sonradan BT_L2CAP_CONFIG) vəziyyətində olduğu halda bağlantının kanal siyahısına əlavə edilir. Bu zaman kənar kanal artıq bt_l2cap_br_lookup_rx_cid() vasitəsilə tapıla bildiyi üçün, radio diapazonunda olan uzaq tərəf həmin CID-yə ünvanlanmış məlumat PDU-su göndərə bilər və bu, hələ qurulmamış kanalda emal oluna bilər. Yönləndirmə yalnız l2cap_br_conf() tərəfindən konfiqurasiya zamanı başladılan kanal sahələrinə (BR_CHAN(chan)->rx.mode, rx.mps) əsaslanır; kanal obyektləri hovuzlaşdırıldığı və bt_l2cap_br_chan_del() funksiyası rx.mode və ya yenidən yığma buferi _sdu-nu sıfırlamadığı üçün, təkrar istifadə edilən kanal CONNECTING pəncərəsinə köhnəlmiş vəziyyəti daşıya bilər və freymi köhnəlmiş parametrlər və potensial olaraq köhnəlmiş _sdu göstəricisi ilə yenidən ötürmə/axın nəzarəti yoluna (bt_l2cap_br_ret_fc_recv()) yönləndirə bilər. Bunun təsiri yarım-açıq (və bəlkə də autentifikasiya olunmamış) kanaldan üst səviyyəli protokol idarəçilərinə hücumçu məlumatlarının çatdırılmasına, həmçinin təkrar istifadə edilmiş kanal obyektlərində köhnəlmiş və ya qismən başladılmış kanal vəziyyətləri üzərində əməliyyatların aparılmasına səbəb olur ki, bu da kanalın/bağlantının kəsilməsinə (xidmətdən imtina) və köhnəlmiş _sdu halında asılı göstərici (dangling-pointer) şəraitinə gətirib çıxarır. Düzəliş, kanal tam qoşulana qədər qəbul edilən bütün məlumatları rədd edən açıq bir BR_CHAN(chan)->state < BT_L2CAP_CONNECTED mühafizə mexanizmi əlavə edir.