CVE-2026-15460

subsys/bluetooth/host/classic/l2cap_br.c dosyasındaki Bluetooth Classic (BR/EDR) L2CAP alım işleyicisi bt_l2cap_br_recv(), hedef kanalın BT_L2CAP_CONNECTED durumuna ulaşıp ulaşmadığını kontrol etmeden, gelen veri PDU'larını yalnızca hedef kanal kimliğine (CID) göre yönlendiriyordu. Dinamik bir kanala, yapılandırma tamamlanmadan ve güvenlik gerektiren PSM'ler için karşı taraf kimlik doğrulaması yapılmadan önce (l2cap_br_conn_req()), henüz BT_L2CAP_CONNECTING (ve daha sonra BT_L2CAP_CONFIG) durumundayken RX CID atanır ve bağlantının kanal listesine eklenir. Bu süre zarfında kanal, bt_l2cap_br_lookup_rx_cid() tarafından zaten bulunabildiği için, radyo menzilindeki uzak bir eş, söz konusu CID'ye hitap eden bir veri PDU'su gönderebilir ve bunun henüz kurulmamış bir kanal üzerinde işlenmesini sağlayabilir. Yönlendirme işlemi, yalnızca l2cap_br_conf() tarafından yapılandırma sırasında başlatılan kanal alanlarına (BR_CHAN(chan)->rx.mode, rx.mps) dayanmaktadır; kanal nesneleri havuzlandığından ve bt_l2cap_br_chan_del() fonksiyonu rx.mode veya yeniden birleştirme tamponu olan _sdu'yu sıfırlamadığından, yeniden kullanılan bir kanal, CONNECTING penceresine güncelliğini yitirmiş durumlar taşıyabilir ve çerçeveyi bayat parametrelerle ve muhtemelen bayat bir _sdu işaretçisiyle yeniden iletim/akış kontrolü yoluna (bt_l2cap_br_ret_fc_recv()) yönlendirebilir. Bunun etkisi, saldırgan verilerinin yarı açık (ve muhtemelen kimliği doğrulanmamış) bir kanal üzerinden üst katman protokol işleyicilerine iletilmesi ve yeniden kullanılan kanal nesneleri üzerindeki güncelliğini yitirmiş veya kısmen başlatılmış kanal durumuyla işlem yapılmasıdır; bu durum kanal/bağlantı kopmasına (hizmet reddi) ve bayat _sdu durumunda sarkan işaretçi (dangling-pointer) koşuluna yol açar. Düzeltme, kanal tamamen bağlanmadan önce alınan tüm verileri düşüren açık bir BR_CHAN(chan)->state < BT_L2CAP_CONNECTED koruması eklemektedir.