CVE-2026-87040

اسم البرنامج المصاب والإصدارات المتأثرة Open-source Bluetooth LE Controller (الإصدارات المتأثرة غير محددة)

الوصف تفشل مسارات استقبال طبقة الربط nRF في التحقق من حقل الطول (LENGTH) لوحدة بيانات البروتوكول (PDU) المستلمة مقابل أقصى طول استقبال مبرمج في الراديو. يحدث هذا في الدالة isr rx pdu() ضمن subsys/bluetooth/controller/ll sw/nordic/lll/lll conn.c وكذلك في معالجات isr rx() في lll central iso.c و lll peripheral iso.c و lll sync iso.c و lll scan aux.c لوحدات PDU الخاصة بـ ISO والإعلانات الموسعة.

يمكن للمهاجم الموجود ضمن نطاق الراديو إرسال PDU طبقة ربط مصممة يدويًا ببايت طول يصل إلى 255، مما يتجاوز الحد الأقصى المبرمج (مثل lll->dle.eff.max rx octets أو cis lll->rx.max pdu). تؤثر هذه المشكلة بشكل أساسي على حركة المرور غير المشفرة لأن الروابط المشفرة ترفض عادةً مثل هذه الإطارات عبر فحوصات MIC. يتم معالجة الطول غير المتحقق منه بواسطة hci acl encode() في subsys/bluetooth/controller/hci/hci.c مما يؤدي إلى قراءة خارج الحدود بنحو 228 بايت وكتابة خارج الحدود لاحقًا في المخازن المؤقتة المجاورة. بالإضافة إلى ذلك، في مسارات ISO، قد تقوم isoal rx append to sdu() بالقراءة خارج مخزن عقدة ISO. يمكن أن يؤدي ذلك إلى فساد الذاكرة عن بُعد، وتعطل المتحكم، وكشف ذاكرة المتحكم إلى مسار بيانات المضيف.

التوصيات في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.