JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-026242 subsys/bluetooth/host/classic/l2cap_br.c にある Classic (BR/EDR) L2CAP シグナリングハンドラ l2cap_br_conf_req() と l2cap_br_conf_rsp() は、最小コマンドサイズの検証において、L2CAP シグナリングヘッダから得られるコマンド単位のデータ長 len ではなく、buf-＞len（受信した PDU 全体の残りバイト数）に対してチェックを行っていました。複数のシグナリングコマンドが1つのPDUにまとめられるため、buf-＞len は1つのコマンドの len を超える可能性があります。攻撃者はヘッダ長が設定要求構造体より小さい（例：0）CONF_REQ コマンドを送り、その後に別のコマンドを続けて送信することで buf-＞len がチェック条件を満たすようにできます。このチェックが誤って通過すると、opt_len = len - sizeof(*req) の計算で uint16_t のアンダーフローが起き、ほぼ0xFFFFの値になります。opt_len と buf-＞len の比較によるガードがない設定オプションループは、実行時境界チェックを行わない net_buf のプル操作によりバッファ範囲を大きく超えて読み込みを行い、ホストメモリの範囲外読み出しを発生させます。さらに、範囲外のオプションバイトが MTU やフラッシュタイムアウトのオプションをエンコードしている場合、不正な書き込みも発生します。BR/EDR シグナリングチャネルはペアリング・暗号化よりも前に処理され、SDP などの L0 サービス向け L2CAP チャネルはペアリングなしで開けるため、ACL 接続を確立できる無認証の近距離ピアがこの欠陥を悪用でき、メモリ破損やサービス拒否（ホストまたはデバイスのクラッシュ）を引き起こす可能性があります。この欠陥は v4.4.0 を含むリリースバージョンに存在しています。修正では両ハンドラで buf-＞len の代わりに len に対して検証を行うようになっています。 cpe:/o:zephyrproject:zephyr https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026242.html Common Vulnerabilities and Exposures (CVE) CVE-2026-10680 https://www.cve.org/CVERecord?id=CVE-2026-10680 National Vulnerability Database (NVD) CVE-2026-10680 https://nvd.nist.gov/vuln/detail/CVE-2026-10680 GitHub Out-of-bounds access in Zephyr BR/EDR L2CAP configuration request handling via `uint16_t` length underflow Advisory zephyrproject-rtos/zephyr GitHub https://github.com/zephyrproject-rtos/zephyr/security/advisories/GHSA-vrwx-p97q-8854 JVNDB CWE-125 https://cwe.mitre.org/data/definitions/125.html 関連文書 bluetooth: host: classic: l2cap_br: Fix conf req/rsp length validation zephyrproject-rtos/zephyr@1d45168 GitHub https://github.com/zephyrproject-rtos/zephyr/commit/1d451683377f4c8e56d7718565bea7b5c1155159 2026-07-31T15:02:34+09:00 2026-07-31T15:02:34+09:00