CVE-2026-15894

subsys/bluetooth/mesh/solicitation.c dosyasındaki Bluetooth Mesh On-Demand Private Proxy solicitation işleyicisi, alınan bir Solicitation PDU'sunu kaynak uzunluğunu sınırlamadan 17 baytlık sabit bir yığın tamponuna kopyalamaktadır. sol_pdu_decrypt() fonksiyonunda, out değişkeni NET_BUF_SIMPLE(17) olarak tahsis edilmekte ve ardından net_buf_simple_add_mem(out, in->data, in->len) ile doldurulmaktadır; net_buf_simple_add() fonksiyonu kuyruk alanını yalnızca üretim sürümlerinde derleme dışı bırakılan __ASSERT_NO_MSG ile korumaktadır, bu nedenle in->len > 17 olduğunda alttaki memcpy işlemi saldırgan tarafından kontrol edilen baytları 17 baytlık yığın tamponunun ötesine yazmaktadır. Kopyalama işlemi herhangi bir şifre çözme veya kimlik doğrulama işleminden önce gerçekleştiğinden, bunu tetiklemek için herhangi bir anahtar materyaline ihtiyaç duyulmamaktadır. Aşırı uzunluk, subsys/bluetooth/mesh/adv.c dosyasındaki mesh tarama geri çağırma işleminin bt_mesh_sol_recv() fonksiyonuna yönlendirme yapmadan önce net_buf_simple_restore() fonksiyonunu çağırmasından kaynaklanmakta ve bu durum buf->len değerinin yalnızca Solicitation Service Data yerine kalan tüm reklam yükünü kapsamasını sağlamaktadır. Ayrıştırıcı Service Data AD kısmını bulup Identification Type baytını tükettikten sonra, kalan buf->len değeri 17 oktetlik Network PDU artı varsa sondaki reklam baytlarından oluşmaktadır ve bu düzeltmeden önce maksimum uzunluk kontrolü bulunmamaktaydı (yalnızca minimum kontrol vardı). Bu nedenle bir saldırgan, buf->len değerinin 17'yi aşmasını sağlamak için Solicitation Service Data sonrasına ek AD yapıları veya dolgu ekleyebilir. bt_mesh_scan_cb() doğrudan BLE tarama geri çağırması olarak kaydedildiğinden, buf havadan alınan ham ve kimliği doğrulanmamış reklam verisidir. Radyo menzilindeki herhangi bir cihaz; eşleştirme, bağlama veya provizyonlama gerekmeksizin, CONFIG_BT_MESH_OD_PRIV_PROXY_SRV özelliği etkin olan ve şu anda talep edilebilir durumda olan (GATT proxy devre dışı, On-Demand Private Proxy etkin) bir düğüme özel olarak hazırlanmış bir mesh Proxy Solicitation içeren bağlanamaz bir reklam gönderebilir. Bunun sonucu, saldırgan tarafından kontrol edilen bir yığın üzerine yazma işlemidir; bu da muhtemelen uzaktan kod çalıştırmaya ve en azından güvenilir bir uzaktan hizmet reddine yol açabilir. Düzeltme, şifre çözme işleminden önce buf->len değerini spesifikasyonda sabitlenen 17 oktete kırpmaktadır (daha az kaldığında PDU'yu düşürmektedir).