Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Bluetooth:virtio_bt:rx pkt_typeヘッダー長を検証 virtbt_rx_handle() は、残りのペイロードが少なくともそのタイプの固定 HCI ヘッダーであるかどうかをチェックせずに、RX skb から先行する pkt_type バイトを読み取り、残りを各 event/ACL/SCO/ISO タイプごとに hci_recv_frame() に転送します。先行パッチがバックエンド提供の used.len を [1, VIRTBT_RX_BUF_SIZE] に制限した後も、skb->len が既に 0 にプルされた状態で 1 バイト完了が hci_recv_frame() に到達します。バイトがたまたま HCI_ACLDATA_PKT の場合、HCI デバイスにアクティブな CIS_LINK、BIS_LINK、または PA_LINK 接続がある場合はいつでも、hci_dev_classify_pkt_type() の ACL-vs-ISO 分類ファストパスが hci_acl_hdr(skb)->handle を逆参照し、初期化されていない RX バッファデータの 2 バイトを読み取ります。virtbt_rx_handle() のいずれのスイッチケースも、フレームをコアに渡す前にタイプごとの最小 HCI ヘッダーサイズに対して skb->len をチェックしないため、ドライバーが受け入れるすべてのパケットタイプに同じ危険が存在します。pkt_type を削除した後、skb->len は、hci_recv_frame() を呼び出す前に、選択されたタイプ(イベント 2、ACL 4、SCO 3、ISO 4)の固定ヘッダーサイズをカバーする必要があります。それ以外の場合は、ratelimited をドロップします。不明な pkt_type の値がある場合でも、元の kfree_skb() デフォルトパスが使用されます。bt_dev_err_ratelimited() を使用するのは、length と pkt_type の値の両方が信頼できないバックエンドから来たためで、これ以外の場合はカーネルログをフラッディングさせる可能性があるためです。(CVE-2026-46186)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-46186

medium Nessus プラグイン ID 317646

バージョン 1.11