Sungwoo Kim

Nome do software vulnerável e versões afetadas: Versões do kernel Linux anteriores à 6.6.61 Descrição: Foi identificada uma falha de desreferência de ponteiro nulo na funcionalidade Bluetooth do kernel do Linux, especificamente na função `hci read supported codecs`. Essa falha ocorre quando a função ` hci cmd sync sk()` retorna NULL para códigos de operação desconhecidos, levando a uma desreferência de ponteiro nulo na função `cmd sync` para `HCI OP READ LOCAL CODECS`. O problema ocorre porque não há uma entrada `hci cc` para `HCI OP READ LOCAL CODECS`, fazendo com que a função assuma um valor de status de `skb->data[0]`. Isso resulta em uma referência a ponteiro nulo no intervalo `[0x0000000000000070-0x0000000000000077]`. Recomendações: Para resolver este problema, atualize o kernel do Linux para a versão 6.6.61 ou posterior. Como solução alternativa temporária, considere desativar a funcionalidade Bluetooth até que um patch esteja disponível.

Existe um problema na implementação L2CAP do Bluetooth dentro do módulo `net/bluetooth/l2cap core.c`. A função `l2cap le flowctl init()` não valida adequadamente os dados de entrada, especificamente quando a variável `le mtu` em `hdev` não está dentro de um intervalo válido. Essa falta de validação pode levar a um erro de divisão por zero ou a um estouro de inteiro, o que pode permitir que um invasor remoto cause a negação de serviço.

O problema está relacionado a uma vulnerabilidade de uso após liberação (slab-use-after-free) na função `msft do close()`. Essa vulnerabilidade é causada por uma condição de corrida (race condition) em que `msft->data` é liberado em `hci release dev()`, mas ainda é usado em `msft do close()`. A vulnerabilidade pode ser explorada para comprometer a confidencialidade, integridade e disponibilidade de informações protegidas. Os detalhes técnicos sobre a exploração incluem o uso da função `mutex lock()` em um `msft->filter lock` liberado e da função `kfree()` para liberar os dados `msft`.

O problema está relacionado a uma vulnerabilidade do tipo “slab-use-after-free” na função `l2cap connect()`. Essa vulnerabilidade pode ser explorada devido a uma condição de corrida, permitindo que um invasor possa comprometer a confidencialidade, a integridade e a disponibilidade das informações protegidas. A vulnerabilidade ocorre quando a variável `chan` é liberada prematuramente e, em seguida, sua memória é acessada novamente, levando a uma condição de uso após liberação. A função `l2cap connect()` é usada na implementação do protocolo Bluetooth L2CAP. Os detalhes técnicos sobre a exploração incluem: - A função `l2cap bredr sig cmd` chama `l2cap connect()`, que aloca memória para a variável `chan`. - A função `l2cap conn del` libera a variável `chan`, mas, devido à condição de corrida, a memória pode ser acessada após ter sido liberada. - A vulnerabilidade pode ser acionada explorando-se a condição de corrida entre a alocação e a desalocação da variável `chan`.

The issue is related to the `l2cap sock release` function in the Linux kernel, specifically in the `net/bluetooth/l2cap sock.c` file. It involves a use-after-free error because the children of an `sk` are mishandled. This could potentially allow an attacker to cause a denial of service or have other impacts.

O problema está relacionado a uma vulnerabilidade do Bluetooth no kernel Linux, especificamente um estouro de memória no protocolo L2CAP. Ao enviar pacotes L2CAP CONF REQ continuamente, um invasor pode fazer com que a variável `chan->num conf rsp` aumente várias vezes, eventualmente ultrapassando o número máximo, que é 255. Isso é evitado adicionando-se uma verificação de limite com `L2CAP MAX CONF RSP`. A vulnerabilidade pode ser explorada enviando-se pacotes com tamanhos inválidos.

O problema está relacionado a um desbordamento de inteiro na função `l2cap config req`, no arquivo `net/bluetooth/l2cap core.c`, que pode ser explorado por meio de pacotes `L2CAP CONF REQ`. Isso pode permitir que um invasor execute código arbitrário.