CVE-2026-19740

Zephyr proqram təminatının Bluetooth LE Controller komponentinin Link Layer Control Procedure (LLCP) tətbiqi, qəbul edilmiş LL_PHY_UPDATE_IND daşıyan qəbul düyününü saxlayır ki, bu da yeniləmə anı çatdıqda host bildirişi üçün daha sonra təkrar istifadə edilə bilsin (subsys/bluetooth/controller/ll_sw/ull_llcp.c faylında llcp_rx_node_retain() funksiyası və düyün NODE_RX_TYPE_RETAIN olaraq işarələndiyi müddətcə qəsdən geri qaytarılmır). subsys/bluetooth/controller/ll_sw/ull_llcp_phy.c faylındakı llcp_lp_pu_rx() və llcp_rp_pu_rx() funksiyalarının invalid-PDU budaqları həmin saxlanılan düyünü əvvəlcə azad etmədən llcp_lr_complete() / llcp_rr_complete() vasitəsilə proseduru tamamlayırdı, buna görə də prosedur konteksti — düyünə olan yeganə qalan istinad — düyün hələ də qəbul hovuzundan kənarda saxlanıldığı halda azad edilirdi. Qurulmuş LE bağlantısındakı qarşı tərəf cihazı bunu deterministik şəkildə və cütləşdirmə və ya şifrələmə olmadan idarə edə bilər. Periferik cihaza qarşı o, LL_PHY_REQ göndərir, LL_PHY_RSP qəbul edir, gələcəkdəki bir neçə bağlantı hadisəsində anı olan düzgün LL_PHY_UPDATE_IND göndərir (beləliklə düyün saxlanılır) və sonra, həmin ana çatmamış, LL_LENGTH_REQ kimi hər hansı digər LL Control PDU göndərir; ull_cp_rx() onu aktiv uzaq PHY Yeniləmə proseduruna yönləndirir və bu da invalid-PDU yolunu izləyir. Güzgü effekti ilə eyni hal lokal olaraq başladılmış PHY Yeniləməsindən sonra LL_REJECT_IND göndərildikdə baş verir. Defolt konfiqurasiyada (həm CONFIG_BT_ASSERT, həm də CONFIG_BT_CTLR_ASSERT_DEBUG defolt olaraq y-dir) llcp_lr_check_done() / llcp_rr_check_done() funksiyalarındakı pozulmuş invariant kontroller assertion-ını tetikləyir və k_oops() (və ya k_panic()) ilə nəticələnir — radiotezlik mənzilindən göndərilən tək bir hazırlanmış PDU ardıcıllığı cihazda xətaya səbəb olur. Həmin assertion-lar kompilyasiya zamanı çıxarıldıqda, hər bir cəhd səssiz şəkildə bir qəbul PDU düyününü və onun memq linkini sızdırır; kontroller qəbul hovuzu kiçik olduğu üçün (PDU_RX_CNT, defolt olaraq 1 olan CONFIG_BT_CTLR_RX_BUFFERS tərəfindən idarə olunur) və hər bir cəhd hücumçuya yalnız yenidən qoşulma xərci yaratdığı üçün, bir neçə təkrar hovuzu tükədir və Bluetooth-u yenidən yükləməyə qədər işləməz hala gətirir. v3.4.0-dan v3.7.x-ə qədər olan versiyalarda konfiqurasiyadan asılı olmayaraq assertion heç vaxt baş vermir, buna görə də hər bir cəhd səssiz şəkildə sızıntıya səbəb olur. Təsir yalnız əlçatanlıqla məhdudlaşır: yetim qalmış düyün sonradan istinad edilən heç bir asılı göstərici (dangling pointer) qoymur və heç vaxt hosta çatdırılmır, buna görə də yaddaşın korlanması və ya məlumat sızması baş vermir. Eyni pull request, invalid-PDU budaqlarında eyni boşluğun olduğu Bağlantı Yeniləməsi (Connection Update) və CIS-create prosedurlarına da eynilə tətbiq edilir.