CVE-2026-10654

Zephyr Bluetooth Classic RFCOMM ana bilgisayar yığınına (subsys/bluetooth/host/classic/rfcomm.c) ait bir yarış durumu (race condition), eşzamanlı çift yönlü oturum bağlantı kesilmesini hatalı yönetmektedir. Yerel cihaz bir oturum kapatma işlemi başlattığında (durum BT_RFCOMM_STATE_DISCONNECTING, DISC gönderildi, RTX zamanlayıcısı kuruldu) ve bağlı uç nokta aynı anda dlci 0 için kendi DISC çerçevesini gönderdiğinde, rfcomm_handle_disc() fonksiyonu rfcomm_session_disconnected() fonksiyonunu çağırır; bu da bt_l2cap_chan_disconnect() fonksiyonunu hiç çağırmadan oturumu koşulsuz olarak BT_RFCOMM_STATE_DISCONNECTED durumuna zorlar. Kurtarma zamanlayıcısının da iptal edilmesi ve daha sonra gelen bir UA mesajının DISCONNECTED durumunda görmezden gelinmesi nedeniyle oturum kalıcı olarak kilitlenir: alttaki L2CAP kanalı asla serbest bırakılmaz ve sabit bt_rfcomm_pool[CONFIG_BT_MAX_CONN] dizisindeki oturum yuvası asla geri alınmaz (conn işaretçisi ayarlı kalır). Söz konusu bağlantı üzerindeki sonraki bt_rfcomm_dlc_connect() çağrıları, geçersiz oturum durumu nedeniyle -EINVAL ile hata verir, böylece ilgili uç nokta için RFCOMM hizmeti reddedilir ve tekrarlanan olaylar oturum havuzunun tükenmesine yol açabilir. DISC çerçevesi hava üzerinden uç nokta tarafından kontrol edilir, ancak istismar edilmesi için uç noktanın DISC çerçevesinin yerel başlatmalı bir bağlantı kesilmesiyle çakışması gerekir (yüksek karmaşıklıkta bir zamanlama yarışı). Etki yalnızca kullanılabilirlik/kaynak sızıntısı şeklindedir; bellek güvenliği, gizlilik veya bütünlük sonucu yoktur. Kusur, yayınlanan sürümlerde mevcuttur (v4.4.0 ve öncesinde bulunmaktadır). Düzeltme, uygun L2CAP kapatma yolunu koruyarak, yalnızca oturum halihazırda DISCONNECTING durumunda değilse DISCONNECTED durumuna geçiş sağlar.