CVE-2026-46186

Linux çekirdeğinde aşağıdaki güvenlik açığı giderilmiştir: Bluetooth: virtio_bt: rx pkt_type başlık uzunluğunu doğrula virtbt_rx_handle(), her event/ACL/SCO/ISO türü için RX skb'den baştaki pkt_type baytını okur ve geri kalan kısmı, kalan yükün o tür için sabit HCI başlığına sahip olup olmadığını kontrol etmeden hci_recv_frame()'e iletir. Önceki yamanın arka uç tarafından sağlanan used.len değerini [1, VIRTBT_RX_BUF_SIZE] aralığıyla sınırlandırmasından sonra, skb->len değeri zaten 0'a çekilmişken tek bir baytlık tamamlanma hala hci_recv_frame()'e ulaşmaktadır. Eğer bu bayt HCI_ACLDATA_PKT ise, HCI cihazının aktif bir CIS_LINK, BIS_LINK veya PA_LINK bağlantısı olduğu durumlarda, hci_dev_classify_pkt_type() içindeki ACL-vs-ISO sınıflandırma hızlı yolu, başlatılmamış iki baytlık RX-tampon verisini okuyarak hci_acl_hdr(skb)->handle referansını çözer. Sürücünün kabul ettiği her paket türü için aynı risk mevcuttur çünkü virtbt_rx_handle() içindeki switch durumlarının hiçbiri, çerçeveyi çekirdek katmanına teslim etmeden önce skb->len değerini türe özgü minimum HCI başlık boyutuyla karşılaştırmaz. pkt_type çıkarıldıktan sonra, hci_recv_frame() çağrılmadan önce skb->len değerinin seçilen tür için sabit başlık boyutunu (event 2, ACL 4, SCO 3, ISO 4) kapsamasının sağlanması; aksi takdirde paketin hız sınırlamalı olarak düşürülmesi gerekir. Bilinmeyen pkt_type değerleri hala orijinal kfree_skb() varsayılan yolunu izler. Hem uzunluk hem de pkt_type değerleri, aksi takdirde çekirdek günlüğünü doldurabilecek güvenilmeyen bir arka uçtan geldiği için bt_dev_err_ratelimited() kullanılır.