CVE-2026-11368

Bluetooth ana bilgisayar ATT katmanı (subsys/bluetooth/host/att.c), işlemdeki her bir ATT TX tamponunu statik tx_meta_data_storage[] dizisi aracılığıyla sahibi olan kanalla ilişkilendirir (data->att_chan = chan). Bir tamponun son referansı kaldırıldığında, net-buf yok etme geri çağırması tamamlanma işlemini sistem iş kuyruğuna erteler (att_tx_destroy -> att_tx_destroy_work_handler -> att_on_sent_cb -> bt_att_sent); burada bt_att_sent, kanalın ve onun ATT bağlamının referansını çözer (sys_slist_get(&att->reqs)). Bir ATT PDU (bir sunucu bildirimi/belirtimi veya herhangi bir yanıt) denetleyici TX yolunda hala işlemdeyken karşı taraf bağlantıyı kestiğinde, L2CAP l2cap_chan_del() içinde kanalı kapatır: önce bağlantı kesilme geri çağırmasını ve ardından serbest bırakma geri çağırmasını (bt_att_released) çalıştırarak kanal slab yuvasını boşaltır. İşlemdeki tampon, kanalın kendi kuyruğu yerine bağlantı TX yolu tarafından tutulduğu için, ertelenmiş yok etme işlemi kanal serbest bırakıldıktan sonra çalışabilir. Bayat geri çağırmayı düşürmek amacıyla tasarlanan att_on_sent_cb koruması, artık serbest bırakılmış (ve muhtemelen yeniden kullanılmış) bir slab yuvasına işaret eden asılı bir işaretçi olan meta->att_chan referansını çözer. ATT bağlantısına sahip uzak bir eş, rutin ATT trafiği sırasında bağlantıyı keserek bunu tetikleyebilir; ATT taşıyıcısına ulaşmak için eşleştirme veya kullanıcı etkileşimi gerekmez. Sonuç, serbest bırakılan kanal belleğinin serbest bırakıldıktan sonra kullanımı (use-after-free) şeklinde okuma/yazma işlemidir; bu durum Bluetooth ana bilgisayarını güvenilir şekilde çökerterek hizmet reddine (denial of service) neden olur ve kanal slab yuvası yeniden kullanılabileceği için potansiyel olarak canlı belleği bozar. Düzeltme, bt_att_released() fonksiyonunun, kanalı serbest bırakmadan önce hala kanala referans veren her tx_meta_data_storage[] girişinin att_chan alanını NULL yapmasını sağlar; böylece ertelenmiş koruma NULL bir işaretçi görür ve geri çağırmayı düşürür. Kapatma işlemi ve yok etme işi hem kooperatif sistem iş kuyruğunda çalıştığından, dizi güncellemesi serileştirilmiştir ve herhangi bir kilide ihtiyaç duymaz.