CVE-2026-18748

Nome do Software Vulnerável e Versões Afetadas Zephyr (versões afetadas não especificadas)

Descrição Existe um problema no host Bluetooth Classic A2DP onde o sistema manipula incorretamente os Elementos de Informação (IE) de codec na estrutura bt a2dp codec ie. Quando um peer AVDTP envia um IE de codec com mais de 8 bytes, as funções a2dp process config ind(), bt a2dp get config cb() e bt a2dp set config cb() truncam os dados copiados para 8 bytes, mas mantêm o comprimento original maior na variável len. Esta inconsistência é armazenada na estrutura bt a2dp stream através de stream->codec config.

Operações subsequentes confiam no valor de len. Especificamente, ao responder a uma solicitação AVDTP GET CONFIGURATION, a função a2dp get config ind() utiliza net buf add mem() para ler e transmitir dados com base no valor incorreto de len. Isso permite que um peer BR/EDR emparelhado provoque uma leitura fora dos limites de aproximadamente 245 bytes da RAM adjacente. Leituras semelhantes fora dos limites podem ocorrer nos callbacks de aplicação config req(), reconfig req() e get config rsp() via memcpy().

Este problema requer que CONFIG BT CLASSIC e CONFIG BT A2DP estejam habilitados, um peer AVDTP emparelhado e um endpoint local registrado para um codec não-SBC (como BT A2DP MPEG1, BT A2DP MPEG2, BT A2DP ATRAC ou BT A2DP VENDOR) inicializado via BT A2DP EP INIT().

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.