CVE-2026-77685

اسم البرنامج المصاب والإصدارات المتأثرة Zephyr الإصدارات من 4.3.0 إلى 4.4.0

Description يحتوي معالج قناة التحكم في مضاعف RFCOMM في subsys/bluetooth/host/classic/rfcomm.c على خطأ في تدفق الأعداد الصحيحة (integer underflow) عند حساب طول الصدى لأمر BT RFCOMM TEST. يمكن أن يتسبب إطار UIH مشوه على DLCI 0 في جعل buf->len يساوي 0، مما يؤدي إلى تدفق buf->len - 1 إلى القيمة 255. يتم تمرير هذه القيمة إلى الدالة rfcomm send test()، والتي تقوم بعد ذلك بنسخ 255 بايت من ذاكرة تخزين مؤقت للاستقبال لا تحتوي على بيانات صالحة. تؤدي هذه العملية إلى قراءة خارج الحدود (out-of-bounds read) لذاكرة المكدس أو المجمع المجاورة، وكتابة خارج الحدود (out-of-bounds write) تتجاوز ذاكرة التخزين المؤقت للإرسال بنحو ثمانية بايتات، مما قد يؤدي إلى تعطل مضيف بلوتوث.

يمكن تحفيز هذه المشكلة بواسطة جهاز BR/EDR غير مقترن ضمن نطاق الراديو لهدف تم تفعيل CONFIG BT RFCOMM فيه (مثل ملفات تعريف SPP أو HFP أو HSP أو GOEP). هذه الثغرة قابلة للاستغلال تحديداً في الإصدارات التي تم تفعيل CONFIG BT GOEP فيها، لأن ذلك يزيد من وحدة MTU للاستقبال بما يتجاوز وحدة MTU للإرسال.

Recommendations تحديث Zephyr إلى إصدار يتضمن كل من الإصلاح 1 (الذي يعالج تدفق الأعداد الصحيحة والقراءة الزائدة) والإصلاح 2 (الذي يعالج الكتابة الزائدة في ذاكرة التخزين المؤقت للإرسال من خلال التحقق من المساحة المتبقية في كل تخصيص PDU RFCOMM).