CVE-2026-15894

Nome do Software Vulnerável e Versões Afetadas Zephyr (versões afetadas não especificadas)

Descrição O manipulador de solicitação do Bluetooth Mesh On-Demand Private Proxy em subsys/bluetooth/mesh/solicitation.c contém um estouro de buffer na pilha. O problema ocorre na função sol pdu decrypt(), onde uma PDU de Solicitação recebida é copiada para um buffer de pilha fixo de 17 bytes usando net buf simple add mem() sem validar o comprimento da origem. Como a função net buf simple add() utiliza apenas asserções para proteções de espaço final que são removidas em compilações de produção, um comprimento de entrada superior a 17 bytes permite que um invasor sobrescreva a pilha com dados arbitrários.

Isso acontece porque o callback de varredura mesh em subsys/bluetooth/mesh/adv.c chama net buf simple restore() antes de chamar bt mesh sol recv(), fazendo com que buf->len inclua todo o payload de publicidade restante. Um invasor pode anexar estruturas de dados de publicidade extras ou preenchimento para exceder o limite do buffer. Como o bt mesh scan cb() processa dados de publicidade brutos e não autenticados, qualquer dispositivo ao alcance do rádio pode disparar isso enviando uma publicidade não conectável manipulada para um nó com CONFIG BT MESH OD PRIV PROXY SRV habilitado, sem a necessidade de emparelhamento, vinculação ou provisionamento. Isso pode levar à execução remota de código ou a uma negação de serviço remota.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Como medida de mitigação temporária, desative a configuração CONFIG BT MESH OD PRIV PROXY SRV para evitar que o manipulador de solicitação processe essas requisições.