CVE-2026-19740

Zephyr yazılımı Bluetooth LE Controller'ın Link Layer Control Procedure (LLCP) uygulaması, güncelleme anına ulaşıldığında ana bilgisayar bildiriminde yeniden kullanılabilmesi için kabul edilmiş bir LL_PHY_UPDATE_IND taşıyan alma düğümünü tutmaktadır (subsys/bluetooth/controller/ll_sw/ull_llcp.c dosyasındaki llcp_rx_node_retain() ve düğüm NODE_RX_TYPE_RETAIN olarak işaretliyken kasıtlı olarak geri dönüştürülmez). subsys/bluetooth/controller/ll_sw/ull_llcp_phy.c dosyasındaki llcp_lp_pu_rx() ve llcp_rp_pu_rx() fonksiyonlarının geçersiz-PDU kolları, bu tutulan düğümü önce serbest bırakmadan prosedürü llcp_lr_complete() / llcp_rr_complete() aracılığıyla tamamlamıştır; böylece düğüme yönelik tek kalan referans olan prosedür bağlamı, düğüm hala alma havuzunun dışında tutulurken serbest bırakılmıştır. Kurulu bir LE bağlantısındaki eş cihaz, bunu eşleştirme veya şifreleme olmadan deterministik olarak tetikleyebilir. Bir çevre birimine karşı LL_PHY_REQ gönderir, LL_PHY_RSP alır, gelecekteki birkaç bağlantı olayında gerçekleşecek bir an içeren geçerli bir LL_PHY_UPDATE_IND gönderir (böylece düğüm tutulur) ve ardından, belirlenen an gelmeden önce LL_LENGTH_REQ gibi herhangi bir başka LL Kontrol PDU'su gönderir; ull_cp_rx() bunu aktif uzak PHY Güncelleme prosedürüne yönlendirir ve bu da geçersiz-PDU yolunu izler. Yerel olarak başlatılan bir PHY Güncellemesini takip eden bir LL_REJECT_IND durumu için de benzer durum geçerlidir. Varsayılan yapılandırmada (hem CONFIG_BT_ASSERT hem de CONFIG_BT_CTLR_ASSERT_DEBUG varsayılan olarak y), llcp_lr_check_done() / llcp_rr_check_done() içindeki ihlal edilen değişmez durum, k_oops() (veya k_panic()) ile sonuçlanan bir denetleyici assertion'ını tetikler; radyo menzilinden gelen tek bir özel hazırlanmış PDU dizisi cihazda hataya neden olur. Bu assertion'lar derlemeden çıkarıldığında, her girişim sessizce bir alma PDU düğümünü ve onun memq bağlantısını sızdırır; denetleyici alma havuzu küçük olduğundan (varsayılanı 1 olan CONFIG_BT_CTLR_RX_BUFFERS tarafından yönetilen PDU_RX_CNT) ve her girişim saldırgana yalnızca bir yeniden bağlanma maliyeti getirdiğinden, birkaç tekrar havuzu tüketir ve Bluetooth'u yeniden başlatılana kadar kullanılamaz hale getirir. v3.4.0 ile v3.7.x arasındaki sürümlerde, yapılandırma ne olursa olsun assertion hiçbir zaman tetiklenmez, dolayısıyla her girişim sessizce sızıntıya neden olur. Etki erişilebilirlik ile sınırlıdır: yetim kalan düğüm, daha sonra başvurulan askıda bir işaretçi bırakmaz ve asla ana bilgisayara iletilmez, bu nedenle bellek bozulması veya bilgi ifşası meydana gelmez. Aynı çekme isteği (pull request), aynı eksikliğe sahip olan Geçiş Güncelleme (Connection Update) ve CIS-oluşturma prosedürlerinin geçersiz-PDU kollarına da aynı düzeltmeyi uygular.