CVE-2026-19739

subsys/bluetooth/controller/ll_sw/ull_llcp_conn_upd.c dosyasındaki Bluetooth Link Layer kontrol prosedürü kodu, bir Connection Update / Connection Parameter prosedürü kendi anını beklerken alınan RX düğümünü tutar, böylece düğüm daha sonra ana bilgisayar bildirimini taşıyabilir (onu NODE_RX_TYPE_RETAIN olarak işaretleyen ve böylece ull.c içindeki normal geri dönüşümü engelleyen llcp_rx_node_retain()). llcp_rp_cu_rx() ve llcp_lp_cu_rx() fonksiyonlarının varsayılan durumu olan "geçersiz PDU, bağlantıyı sonlandır" yolu, tutulan bu düğümü serbest bırakmadan prosedürü tamamlıyordu. Ardından llcp_rr_check_done(), ctx->node_ref.rx hala tutulan düğüme işaret ederken prosedür bağlamını kuyruktan çıkarıp serbest bıraktı ve böylece ona olan son referans düşürüldü. Radyo menzilindeki bir eş cihaz, eşleştirme, bağlama veya şifreleme olmadan buraya ulaşabilir. Bir çevre birimine karşı eş cihaz, gelecekteki birkaç bağlantı olayında gerçekleşecek bir an içeren düzgün biçimlendirilmiş bir LL_CONNECTION_UPDATE_IND gönderir (düğüm tutulur ve prosedür RP_CU_STATE_WAIT_INSTANT durumuna girer), ardından an gelmeden önce LL_LENGTH_REQ gibi herhangi bir başka LL Kontrol PDU'su gönderir. ull_cp_rx(), bu PDU'yu aktif uzak Connection Update prosedürüne yönlendirir ve bu da geçersiz-PDU yolunu izler. Merkezi rol, bir LL_CONNECTION_PARAM_REQ kabul edildikten sonra simetrik olarak erişilebilirdir ve yerel prosedür varyantına LL_REJECT_IND ile ulaşılabilir. CONFIG_BT_CTLR_ASSERT_DEBUG etkin olduğunda (varsayılan değeridir), ortaya çıkan durum llcp_rr_check_done() içinde onaylanan değişmezliği ihlal eder, bu nedenle iki PDU dizisi denetleyicide anında kritik bir hataya neden olur. Bu onaylar devre dışı bırakıldığında, her oluşum denetleyicinin küçük sabit RX havuzundan (varsayılanı 1 olan CONFIG_BT_CTLR_RX_BUFFERS tarafından boyutlandırılır) kalıcı olarak bir düğüm kaybetmesine neden olur; yeniden bağlantılar boyunca dizinin tekrarlanması havuzu tüketir ve bundan sonra bağlantı katmanı alma yolu bir NULL düğüm üzerinde çalışır. Bunun etkisi, yeniden başlatmaya kadar devam eden, kimlik doğrulaması yapılmamış, uzaktan tetiklenebilir bir hizmet reddidir; sızdırılan düğüm basitçe erişilemez hale geldiği için herhangi bir bellek ifşası veya bellek bozulması sonucu oluşmaz.