„`html
Zusammenfassung
CVE-2026-10593 beschreibt eine kritische Speicherverwaltungslücke im Zephyr RTOS Bluetooth LE Audio Basic Audio Profile (BAP) Unicast Client. Die Schwachstelle ermöglicht es einem böswilligen oder fehlerhaften Remote-ASCS-Server, einen Denial-of-Service-Angriff durch NULL-Pointer-Dereference auszuführen. Der Schweregrad wird mit CVSS 6.5 (Mittel) bewertet.
Betroffene Systeme
Betroffen sind Zephyr RTOS-Versionen v4.3.0, v4.4.0 und frühere Versionen, die Bluetooth LE Audio BAP implementieren. Die Schwachstelle trifft insbesondere Geräte, die als BAP-Unicast-Clients fungieren und mit Remote-ASCS-Servern verbunden sind.
Technische Details
Die Verwundbarkeit befindet sich in der Funktion unicast_client_ep_qos_state() in subsys/bluetooth/audio/bap_unicast_client.c. Das Handler-Programm schreibt angreifer-kontrollierte QoS-Felder (interval, framing, phy, sdu, rtn, latency, pd) über einen stream-qos-Pointer. Die Validierung beschränkt sich auf eine stream != NULL Prüfung.
Der kritische Fehler tritt auf, wenn ein Stream via bt_bap_stream_config() Codec-konfiguriert wurde, aber noch nicht zu einer Unicast-Gruppe hinzugefĂĽgt wurde. In diesem Zustand ist stream-qos NULL. Der Pointer wird nur durch unicast_group_add_stream() initialisiert.
Ein Remote-Server kann eine GATT-Notification senden, die den ASE in den QoS-Configured-State versetzt, während der lokale Endpoint noch im Codec-Configured-State ist. Dies ist eine vom Dispatcher explizit erlaubte Zustandsübergang. Die resultierende Schreiboperation durch den NULL-Pointer führt zu einem Systemabsturz.
Empfohlene Massnahmen
- Sofortiges Update auf eine gepatchte Zephyr RTOS-Version durchfĂĽhren
- Netzwerk-Isolierung von Bluetooth-Geräten für kritische Systeme prüfen
- Pairing nur mit vertrauenswürdigen Geräten durchführen
- Monitoring auf unerklärliche Neustarts implementieren
Bewertung
Diese Schwachstelle ist von mittlerem Risiko. Der Angriff erfordert Netzwerk-Nähe und eine bestehende Bluetooth-Verbindung, erzielt aber zuverlässig einen Denial-of-Service. Die Behebung erfolgt durch Umstellung der QoS-Speicherverwaltung auf die immer-gültige embedded ep-qos-Struktur.
„`