Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - subsys/bluetooth/host/classic/sdp.c の bt_sdp_parse_attribute() は、SDP レコードバッファがタイプマーカーバイトと 2 バイトの属性 ID(buf->len < 3 のチェック)を保持していることのみを検証し、その後、4 番目のバイトであるデータ要素記述子(type)を net_buf_simple_pull_u8() で読み取ってから行いました。net_buf_simple_pull_u8() は、その唯一の境界ガード(CONFIG_ASSERT が無効なときにコンパイルされる__ASSERT_NO_MSG、本番のデフォルト)の前に buf->data[0] を逆参照するため、正確に 3 バイトのレコード(0x09 バイトの後に 2 バイトの属性 ID)があると、論理バッファの終端を 1 バイト分の読み取りが発生します。パーサーは、インバウンドのリモートコントロールデータから到達可能です:SDPサーバーとして動作するBluetooth BR/EDRピアは、クライアント受信バッファにそのまま保存され、パブリックbt_sdp_get_attr()/bt_sdp_has_attr()/bt_sdp_record_parse()ヘルパーを介して解析された検出応答レコードを返します。オーバーリードは、内部の長さセレクタとしてのみ使用され、攻撃者に漏洩することはありません。その後、長さチェックにより、無効な形式のレコードが拒否されます。したがって、現実的な影響はエッジケースのサービス拒否(レコードがマップされたメモリ境界で正確に終了する場合にのみ障害、または CONFIG_ASSERT=y の場合の決定論的アサートパニック)に限定されます。Zephyr v4.3.0 および v4.4.0 に影響します。長さチェックに sizeof(type) を追加することで修正しました。(CVE-2026-10651)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-10651

medium Nessus プラグイン ID 322294

バージョン 1.4