JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-032019 Linuxカーネルにおいて、以下の脆弱性が修正されました。Bluetooth: MGMT: add_device_complete内のhci_conn_paramsのUse-After-Free (UAF)の修正。add_device_complete()はhci_cmd_sync_workのkworkerから実行されますが、hci_req_sync_lockのみを保持しており、hci_dev_lockは保持していません。関数内でhci_conn_params_lookup()を呼び出し、その戻り値であるオブジェクト(params-＞flags)を、hci_dev_lockを取得せずに参照しています。 params = hci_conn_params_lookup(hdev, &cp-＞addr.bdaddr, le_addr_type(cp-＞addr.type)); ... device_flags_changed(NULL, hdev, &cp-＞addr.bdaddr, cp-＞addr.type, hdev-＞conn_flags, params ? params-＞flags : 0);hci_conn_params_lookup()はhdev-＞le_conn_paramsを走査し、hdev-＞lockの取得が必要であるとドキュメントに記載されています。一方で、MGMT_OP_REMOVE_DEVICE（remove_device()）はhci_dev_lockを保持して実行され、hci_conn_params_free()を呼び出してhci_conn_params_lookup()が返したオブジェクトをlist_del()とkfree()により解放してしまう可能性があります。そのため、その後のparams-＞flagsへのアクセスは解放済みメモリを参照することとなり、Use-After-Freeが発生します[0]。この問題を防ぐため、hci_conn_params_lookup()呼び出しからparams-＞flagsの読み取り（およびそれに対応するイベント送信）までの間は、hci_dev_lockを保持するようにしました。これにより、hci_conn_params_lookup()のロック契約を遵守し、lookup結果が同時に実行されるremove_device()によって解放されることを防止します。[0]:（後続のページおよびメモリ状態ダンプは省略）BUG: KASAN: slab-use-after-free in add_device_complete+0x358/0x3d8 net/bluetooth/mgmt.c:7671Read of size 1 at addr ffff000017ab26c1 by task kworker/u9:8/388（以下、省略されている詳細なスタックトレースおよび割り当て・解放情報が続きます） cpe:/o:linux:linux_kernel https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-032019.html Common Vulnerabilities and Exposures (CVE) CVE-2026-64433 https://www.cve.org/CVERecord?id=CVE-2026-64433 National Vulnerability Database (NVD) CVE-2026-64433 https://nvd.nist.gov/vuln/detail/CVE-2026-64433 JVNDB CWE-416 https://cwe.mitre.org/data/definitions/416.html 関連文書 Bluetooth: MGMT: Fix UAF of hci_conn_params in add_device_complete - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/e4369e4e970f3fa4676b76be14c1d315c87f22b6) https://git.kernel.org/stable/c/e4369e4e970f3fa4676b76be14c1d315c87f22b6 関連文書 Bluetooth: MGMT: Fix UAF of hci_conn_params in add_device_complete - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/9531014c60c804e16099885d4a98aedcf31bce8d) https://git.kernel.org/stable/c/9531014c60c804e16099885d4a98aedcf31bce8d 関連文書 Bluetooth: MGMT: Fix UAF of hci_conn_params in add_device_complete - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/b346efa825b5e4386f19bc63f81141652d496ec4) https://git.kernel.org/stable/c/b346efa825b5e4386f19bc63f81141652d496ec4 関連文書 Bluetooth: MGMT: Fix UAF of hci_conn_params in add_device_complete - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/fa85d985f614bc3feb343000f14a1072e99b0df1) https://git.kernel.org/stable/c/fa85d985f614bc3feb343000f14a1072e99b0df1 関連文書 Bluetooth: MGMT: Fix UAF of hci_conn_params in add_device_complete - kernel/git/stable/linux.git - Linux kernel stable tree (https://git.kernel.org/stable/c/caed4a96d55757c139a899744657c032b6186665) https://git.kernel.org/stable/c/caed4a96d55757c139a899744657c032b6186665 2026-09-04T17:48:43+09:00 2026-09-04T17:48:43+09:00