CVE-2026-10651

subsys/bluetooth/host/classic/sdp.c dosyasındaki bt_sdp_parse_attribute() fonksiyonu, yalnızca SDP kayıt tamponunun tip belirteç baytı ile 2 baytlık öznitelik kimliğini içerdiğini doğrulamış (buf->len < 3 kontrolü), ancak ardından net_buf_simple_pull_u8() aracılığıyla dördüncü bir baytı, veri öğesi tanımlayıcıyı (tip), okumuştur. net_buf_simple_pull_u8(), tek sınır koruması olan ve CONFIG_ASSERT devre dışı bırakıldığında (üretim varsayılanı) derleme dışı kalan __ASSERT_NO_MSG'den önce buf->data[0]'ı çözdüğü için, tam üç baytlık bir kayıt (0x09 ve ardından gelen 2 baytlık öznitelik kimliği), mantıksal tamponun sonunun bir bayt ötesinde okuma yapılmasına neden olur. Ayrıştırıcıya, dışarıdan gelen ve uzaktan kontrol edilen verilerle erişilebilir: SDP sunucusu olarak hareket eden bir Bluetooth BR/EDR eşi, istemci alma tamponuna olduğu gibi kaydedilen ve genel bt_sdp_get_attr()/bt_sdp_has_attr()/bt_sdp_record_parse() yardımcıları aracılığıyla ayrıştırılan keşif yanıt kayıtlarını döndürür. Fazladan okuma işlemi, yalnızca dahili bir uzunluk seçici olarak kullanılan ve saldırgana asla sızdırılmayan tek bir baytla sınırlıdır; sonraki uzunluk kontrolleri daha sonra hatalı kaydı reddeder. Bu nedenle gerçek etki, uç durum bir hizmet reddi (yalnızca kayıt tam olarak eşlenen bellek sınırında biterse oluşan bir hata veya CONFIG_ASSERT=y olduğunda deterministik bir assert paniği) ile sınırlıdır. Zephyr v4.3.0 ve v4.4.0 sürümlerini etkilemektedir; uzunluk kontrolüne sizeof(type) eklenerek düzeltilmiştir.