Podatności Zephyr Bluetooth Host

Podatność w stosie Bluetooth Zephyr powoduje podwójne zwolnienie bufora net_buf w ścieżce transmisji ATT podczas nieudanego podpisywania. Ponadto, w przypadku niepowodzenia bt_l2cap_send_pdu(), bufor może zostać ponownie użyty z zachowanym podpisem, co prowadzi do zapisu poza zakresem. Skutkuje to uszkodzeniem pamięci, awariami lub potencjalnym wykonaniem kodu.

Podatność w funkcji parse_read_std_char_desc() w podsystemie Bluetooth hosta (subsys/bluetooth/host/gatt.c) pozwala zdalnemu, nieuwierzytelnionemu urządzeniu na zawieszenie wątku obsługi Bluetooth przez wysłanie odpowiedzi ATT z zerową długością wpisu (rsp->len = 0). Pętla parsowania nie sprawdza minimalnej wartości rsp->len, co prowadzi do nieskończonej pętli (CWE-835) i braku możliwości zakończenia odkrywania deskryptorów.

W stosie Bluetooth hosta, podczas składania SDU L2CAP LE CoC, zdalny, nieuwierzytelniony peer BLE może wywołać zapis poza zakresem o długości 2 bajtów. Dzieje się tak, gdy aplikacja włącza segmentację, a wybrany pul RX ma user_data_size mniejszy niż 2 bajty, co powoduje zapis licznika segmentacji poza dozwolony obszar w l2cap_chan_le_recv_seg.