CVE-2026-13213

subsys/bluetooth/audio/has.c içindeki Hearing Access Service (HAS) GATT sunucusu, BT_CONN_CB_DEFINE aracılığıyla koşulsuz olarak bir bağlantı geri çağırma kümesi kurar; bu nedenle security_changed(), uygulama henüz bt_has_register() çağırmamış olsa bile güvenlik kuran her bağlantı için çalışır. hearing_aid_features_attr, preset_control_point_attr ve active_preset_index_attr hizmet öznitelik işaretçileri, bt_has_register() bunları çözümleyip has.registered değerini ayarlayana kadar NULL kalır. CONFIG_BT_SETTINGS etkinleştirildiğinde, settings_set_cb() önyükleme sırasında her eşleştirilmiş istemcinin kalıcı bağlamını geri yükler ve context->flags değerini koşulsuz olarak BONDED_CLIENT_INIT_FLAGS (sıfır olmayan) değerine ayarlar. Daha önce eşleştirilmiş bir eş, bt_has_register() çağrılmadan önceki başlangıç penceresinde yeniden bağlanıp güvenliği yeniden kurduğunda, security_changed() sıfır olmayan flags değerini görür ve notify_work_handler'ı zamanlar; bu da hâlâ NULL olan öznitelik işaretçisiyle bt_gatt_is_subscribed() çağrısını yapar. Bu durum bir doğrulama hatasını (bt_gatt_is_subscribed() içindeki __ASSERT(attr, ...)) veya doğrulamalar derleme dışı bırakıldığında attr->uuid üzerinde NULL başvuru kaldırmayı tetikler. Sonuç, HAS çevre biriminin uzaktan tetiklenebilir (Bluetooth, yakın mesafe) çökmesidir. Sömürü, eşin daha önce cihazla eşleştirilmiş olmasını ve uygulama hizmeti kaydetmeden önce önyükleme zamanındaki yarış penceresi içinde yeniden bağlanmasını gerektirir; ısrarla yeniden bağlanan bir eş kesintiyi uzatabilir. Etki yalnızca hizmet reddidir; bellek bozulması veya bilgi sızıntısı yoktur. Düzeltme, security_changed() içine erken bir if (!has.registered) { return; } koruması ekler; böylece GATT hizmeti kaydedilene ve öznitelik işaretçileri geçerli olana kadar hiçbir bildirim işi zamanlanmaz.