Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - subsys/bluetooth/host/iso.c の bt_iso_recv() が、最初に buf->len をチェックせずに、ISO SDU ヘッダー(4 バイト)を、またはタイムスタンプフラグが設定されている場合、タイムスタンプ付き SDU ヘッダー(8 バイト)を net_buf_pull_mem() を介してインバウンド HCI ISO データバッファからプルしました。upstream hci_iso() ハンドラーが buf->len == コントローラー宣言の ISO Data_Load長を強制するため、確立された CIS/BIS 上の悪意のある、またはバグのあるコントローラー/隣接する BLE ピアが、SDU ヘッダーより短いファーストフラグメント(BT_ISO_START)またはシングル(BT_ISO_SINGLE)PDU を提示する可能性があります。net_buf_simple_pull_mem は長さを __ASSERT_NO_MSG 付きでのみガードするため(CONFIG_ASSERT が無効なときにコンパイルされ、本番のデフォルト)、プルアンダーフローは buf->len(uint16_t、例:0 - 8 = 0xFFF8)、buf->data を有効なデータを超えて進めます。hdr->slen と hdr->sn の後続の読み込みは、隣接するプールメモリの領域外読み込みです。マルチフラグメント(START)の場合、破損したバッファが iso->rx として保持され、後続の CONT/END フラグメントの net_buf_tailroom() ガードがほぼSIZE_MAX値までアンダーフローすることで、境界チェックが破られ、net_buf_add_mem() が RX プールバッファをはるかに超えて memcpy のフラグメントデータを memcpy します(領域外書き込み)。この欠陥はISO受信ビルド(デフォルトでオフになっているLEオーディオオプションBT_ISO_PERIPHERAL/BT_ISO_CENTRAL/BT_ISO_SYNC_RECEIVERによって選択されるCONFIG_BT_ISO_RXに影響し、ISOサブシステムが導入されてからv4.4.0まで存在しています。この修正は、buf->len < sizeof(ts_hdr) と buf->len < sizeof(hdr) チェックを追加し、プルする前にバッファをドロップします。(CVE-2026-10658)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-10658

high Nessus プラグイン ID 322298

バージョン 1.3