CVE-2026-79982

Yeni USB cihaz stekinin Bluetooth HCI USB transport sinfi olan subsys/usb/device_next/class/bt_hci.c, hər bir kontrollerdən-hosta HCI paketini son nöqtədə (endpoint) növbəyə düzməzdən əvvəl USB transfer buferinə kopyalayır. bt_hci_tx_sync_in() həmin buferi slotları yalnız USBD_MAX_BULK_MPS bayt (yalnız tam sürətli build-lərdə 64 bayt) olan sabit bir hovuzdan, bt_hci_ep_pool-dan ayırırdı və sonra heç bir uzunluq yoxlaması aparmadan net_buf_add_mem(buf, bt_buf->data, bt_buf->len) funksiyasını yerinə yetirirdi. HCI hadisə və ACL buferlərinin ölçüləri CONFIG_BT_BUF_EVT_RX_SIZE və CONFIG_BT_BUF_ACL_RX_SIZE ilə təyin edilir və onlar daha böyük ola bilər, buna görə də kopyalama prosesi 64 baytlıq slotun sonunu aşaraq bitişik slotlara və statik olaraq ayrılmış hovuzdan sonra gələn sahələrə yazılır. Cihaz lokal Bluetooth kontrollerini xammal HCI rejimində (CONFIG_BT_HCI_RAW) işlədir, buna görə də həddindən artıq böyük paketlər eter vasitəsilə gəlir. Tam funksionallığa malik kontrollerlər üçün tövsiyə olunan HCI bufer ölçüləri ilə, Bluetooth mənzilində olan autentifikasiya olunmamış hücumçu daşan baytları göndərə bilər: Data Length Extension razılaşdıran qoşulmuş tərəf CONFIG_BT_CTLR_DATA_LENGTH_MAX bayta qədər ACL fraqmentləri göndərə bilər və sadəcə genişləndirilmiş reklam məlumatlarını yayan hücumçu, kontrollerin yalnız CONFIG_BT_BUF_EVT_RX_SIZE qədər fraqmentləşdirdiyi LE Extended Advertising Report hadisələri vasitəsilə eyni yola çata bilir. Standart konfiqurasiyada daşma heç bir radio trafiki olmadan da baş verir: məcburi Read Supported Commands komanda-tamamlama hadisəsi 70 baytdır və hər host başlatmasında 64 baytlıq slotu altı bayt aşır. net_buf_add_mem() funksiyası, CONFIG_NET_BUF_HARDENING aktiv edilmədikdə tailroom-u yalnız assertion vasitəsilə yoxladığı üçün, CONFIG_ASSERT=n olan build-lər (adətən istehsalat parametrləri) USB bufer hovuzuna bitişik yaddaşı hücumçunun seçdiyi məzmunla səssiz şəkildə korlayır ki, bu da alt sistemlər arasında yaddaş mühafizəsi olmayan hədəfdə ixtiyari kodun icrasına səbəb ola bilər. Assertion-lar aktiv edilmiş build-lər isə assertion xətası verərək panikaya düşür və uzaqdan tetiklenebilen xidmətdən imtinaya yol açır. Düzəliş, kontrollerdən-hosta istiqaməti üçün MAX(BT_BUF_ACL_RX_SIZE, BT_BUF_EVT_RX_SIZE) ölçüsündə ayrıca bt_hci_tx_pool tətbiq edir, hostdan-cihaza hovuzunu isə yenidən birləşdirmə zamanı artıq sərhəd yoxlamasından keçən son nöqtə paket ölçüsündə saxlayır.