CVE-2026-19937

subsys/bluetooth/mesh/delayable_msg.c dosyasındaki Bluetooth Mesh Access katmanı delayable-message mekanizması, free_ctx veya busy_ctx listesine dizilmiş CONFIG_BT_MESH_ACCESS_DELAYABLE_MSG_COUNT (varsayılan 4) adet statik mesaj bağlamı havuzunu yönetir. release_delayable_msg_ctx() fonksiyonu, bir bağlamı yalnızca sys_slist_find_and_remove() onu busy_ctx üzerinde bulduğunda free_ctx'e geri döndürüyordu. bt_mesh_delayable_msg_manage() içindeki chunk-tükenmesi hata yolu, zaten free_ctx üzerinden çıkarılmış ancak henüz busy_ctx üzerine eklenmemiş bir bağlamı serbest bıraktığından, bağlam hiçbir listeye eklenmedi ve havuzdan kalıcı olarak kayboldu. bt_mesh_delayable_msg_init() fonksiyonu bt_mesh_init() tarafından yalnızca bir kez çalıştırıldığı ve düğüm sıfırlama/askıya alma işlemleri yalnızca busy_ctx listesini boşalttığı için, bu kayıp unprovision, re-provision ve askıya alma/devam ettirme işlemlerinden sonra da devam eder; yalnızca yeniden başlatma ile temizlenir. Hata yoluna, chunk havuzu (CONFIG_BT_MESH_ACCESS_DELAYABLE_MSG_CHUNK_COUNT, varsayılan 40 chunk), yeni bir geciktirilmiş mesajın ihtiyaç duyduğu chunk sayısından daha az olduğunda ve bt_mesh_access_send() fonksiyonu -EBUSY veya -ENOBUFS (-EBUSY tüm segmentli-TX bağlamları meşgul olduğunda veya -ENOBUFS reklam/segment tamponları tükendiğinde) döndürdüğü için bekleyen en eski mesaj temizlenemediğinde ulaşılır. Mesh ağına dahil edilmiş olan ve geçerli bir NetKey ile bir sunucu modeline bağlı AppKey veya DevKey sahibi olan bir eş, Segment Onayını göndermeyerek kurbanı segmentli yanıtlar gerektiren isteklerle doldurarak her iki koşulu da tetikleyebilir; bu durum, kuyruğa alınmış yanıtlar chunk havuzunu tutarken iletim bağlamlarının meşgul kalmasını sağlar. Bu pencerede gelen her ek istek, bir bağlam sızıntısına neden olur. Havuz tükendiğinde, bt_mesh_delayable_msg_manage() sonraki her gönderim için -ENOMEM döndürür ve bt_mesh_model_send() bu hatayı, anlık iletime geri dönüş yapmaksızın yayar. CONFIG_BT_MESH_ACCESS_DELAYABLE_MSG ve CONFIG_BT_MESH_ACCESS_DELAYABLE_MSG_CTX_ENABLED varsayılan olarak etkin olduğu için, alınan her erişim mesajı için ctx->rnd_delay ayarlanır; böylece Configuration Server, Health Server ve uygulama sunucusu modellerinden gelen tüm yanıtlar sessizce düşürülür. Düğüm trafiği almaya ve işlemeye devam eder ancak asla cevap vermez, bu da cihaz yeniden başlatılana kadar süren kalıcı bir hizmet reddi (DoS) durumudur. Bellek bozulması, bilgi ifşası veya bütünlük etkisi yoktur; düzeltmeden önceki sürümler, chunk sayısını yük uzunluğu yerine iletim tampon kapasitesinden hesapladığından, chunk-havuzu açlığını ve dolayısıyla sızıntıyı tetiklemek önemli ölçüde daha kolaydır.