CVE-2026-11894

Realtek BEE Bluetooth HCI sürücüsünün drivers/bluetooth/hci/hci_bee.c dosyasındaki send geri çağırma fonksiyonu olan bt_hci_bee_send(), bt_hci_driver_api tampon sahipliği sözleşmesini ihlal etmiştir. Bu sözleşme, sürücünün iletim net_buf nesnesini yalnızca başarılı olduğunda tüketmesini (unref) gerektirir; bir hata durumunda ise ana bilgisayar çağırıcısı sahipliği korur ve tamponu kendisi serbest bırakır (unref). Düzeltme öncesindeki kod, tüm hata yollarını, hata kodunu döndürmeden önce koşulsuz olarak net_buf_unref(buf) fonksiyonunu çağıran ortak bir temizleme etiketi üzerinden yönlendiriyordu. Ana bilgisayar TX yolları (subsys/bluetooth/host/hci_core.c içinde), send() bir hata döndürdükten sonra tamponu tekrar serbest bıraktığı için tampon iki kez serbest bırakılmaktadır: sürücü onu net_buf havuzuna iade eder ve ardından ana bilgisayar halihazırda serbest bırakılmış olan tamponu tekrar serbest bırakarak paylaşılan havuzu bozar veya referans sayımının altına iner (CWE-415). Aynı hata dalı ek olarak, tampon zaten serbest bırakıldıktan sonra bir LOG_ERR çağrısı içinde buf->len değerine erişmeye çalışmakta olup bu durum, varsayılan hata günlüğü düzeyinde derlenen serbest bırakılmış belleğin okunmasına (CWE-416) neden olmaktadır. Hatalı uç noktalara, denetleyicinin ana bilgisayardan denetleyiciye tampon tahsisatı başarısız olduğunda veya denetleyici gönderimi başarısız olduğunda (kaynak tükenmesi / GÇ koşulları) ulaşılır. Uzak bir Bluetooth eşi, yoğun ana bilgisayar iletim etkinliği oluşturarak cihazı dolaylı olarak bu koşullara itebilir; bu noktada çift serbest bırakma işlemi ana bilgisayar net_buf havuzunu bozarak büyük olasılıkla cihazın çökmesine neden olur ve daha fazla bellek bozulması potansiyeli taşır. Etki, bu özel Realtek BEE HCI sürücüsünü kullanan yapılarla sınırlıdır. Düzeltme, her hata yolundan serbest bırakma işlemi yapmadan erken çıkış sağlar ve tamponu yalnızca başarı yolunda serbest bırakarak sahiplik sözleşmesini yeniden tesis eder; böylece hem çift serbest bırakma hem de serbest bırakıldıktan sonra kullanım okuma hatasını ortadan kaldırır.