يحتوي معالج قناة التحكم في مضاعف RFCOMM في `subsys/bluetooth/host/classic/rfcomm.c` على خطأ في تدفق الأعداد الصحيحة (integer underflow) عند حساب طول الصدى لأمر `BT RFCOMM TEST`. يمكن أن يتسبب إطار UIH مشوه على DLCI 0 في جعل `buf->len` يساوي 0، مما يؤدي إلى تدفق `buf->len - 1` إلى القيمة 255. يتم تمرير هذه القيمة إلى الدالة `rfcomm send test()`، والتي تقوم بعد ذلك بنسخ 255 بايت من ذاكرة تخزين مؤقت للاستقبال لا تحتوي على بيانات صالحة. تؤدي هذه العملية إلى قراءة خارج الحدود (out-of-bounds read) لذاكرة المكدس أو المجمع المجاورة، وكتابة خارج الحدود (out-of-bounds write) تتجاوز ذاكرة التخزين المؤقت للإرسال بنحو ثمانية بايتات، مما قد يؤدي إلى تعطل مضيف بلوتوث.
يمكن تحفيز هذه المشكلة بواسطة جهاز BR/EDR غير مقترن ضمن نطاق الراديو لهدف تم تفعيل `CONFIG BT RFCOMM` فيه (مثل ملفات تعريف SPP أو HFP أو HSP أو GOEP). هذه الثغرة قابلة للاستغلال تحديداً في الإصدارات التي تم تفعيل `CONFIG BT GOEP` فيها، لأن ذلك يزيد من وحدة MTU للاستقبال بما يتجاوز وحدة MTU للإرسال.