O manipulador do canal de controle do multiplexador RFCOMM em `subsys/bluetooth/host/classic/rfcomm.c` contém um subfluxo de número inteiro (integer underflow) ao calcular o comprimento do eco para um comando `BT RFCOMM TEST`. Um quadro UIH malformado no DLCI 0 pode fazer com que `buf->len` seja 0, resultando em `buf->len - 1` subindo para 255. Este valor é passado para a função `rfcomm send test()`, que então copia 255 bytes de um buffer de recebimento que não contém dados válidos. Esse processo leva a uma leitura fora dos limites (out-of-bounds read) de memória adjacente da pilha ou do pool e a uma gravação fora dos limites (out-of-bounds write) que ultrapassa o buffer de transmissão em aproximadamente oito bytes, podendo causar a falha do host Bluetooth.
O problema pode ser acionado por um dispositivo BR/EDR não emparelhado dentro do alcance de rádio de um alvo com `CONFIG BT RFCOMM` habilitado (como perfis SPP, HFP, HSP ou GOEP). A vulnerabilidade é especificamente explorável em compilações onde `CONFIG BT GOEP` está habilitado, pois isso aumenta o MTU de recebimento além do MTU de transmissão.