CVE-2026-87040

Nome do Software Vulnerável e Versões Afetadas Open-source Bluetooth LE Controller (versões afetadas não especificadas)

Descrição Os caminhos de recebimento da camada de enlace nRF não validam o campo LENGTH de uma Unidade de Dados de Protocolo (PDU) recebida em relação ao comprimento máximo de recebimento programado no rádio. Isso ocorre na função isr rx pdu() em subsys/bluetooth/controller/ll sw/nordic/lll/lll conn.c, bem como nos manipuladores isr rx() em lll central iso.c, lll peripheral iso.c, lll sync iso.c e lll scan aux.c para PDUs de ISO e publicidade estendida.

Um invasor dentro do alcance do rádio pode enviar uma PDU de camada de enlace manipulada com um byte de comprimento de até 255, excedendo o máximo programado (como lll->dle.eff.max rx octets ou cis lll->rx.max pdu). Este problema afeta principalmente o tráfego não criptografado, pois links criptografados normalmente rejeitam tais quadros via verificações de MIC. O comprimento não verificado é processado por hci acl encode() em subsys/bluetooth/controller/hci/hci.c, levando a uma leitura fora dos limites de aproximadamente 228 bytes e uma gravação fora dos limites subsequente em buffers vizinhos. Além disso, nos caminhos ISO, isoal rx append to sdu() pode ler além do buffer de nó ISO. Isso pode resultar em corrupção de memória remota, falhas no controlador e a divulgação de memória do controlador para o caminho de dados do host.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.