Zephyr RTOS: Out-of-Bounds-Read und -Write in Bluetooth Classic RFCOMM

Zusammenfassung

Zephyr-RTOS-Builds mit aktiviertem Bluetooth Classic RFCOMM enthalten einen Integer-Underflow im Handler für den RFCOMM-TEST-Befehl. Ein Angreifer in Funkreichweite kann mit einem einzelnen präparierten Frame auf dem Multiplexer-Kontrollkanal bis zu 255 Byte benachbarten Speicher auslesen, und der Out-of-Bounds-Write kann den Bluetooth-Host zum Absturz bringen. Es ist keine Authentifizierung und keine Benutzerinteraktion nötig, der Angreifer muss sich jedoch innerhalb der Bluetooth-Funkreichweite eines verbindbaren Geräts befinden.

Betroffen

• Zephyr-Versionen ab 1.7.0 bis vor 4.5.0 (gemäss CVE-Eintrag; Standardkonfiguration nicht betroffen)
• Zephyr-v4.3.x-Builds mit aktiviertem CONFIG_BT_GOEP sind durch den Rest-Write nach Fix 1 ebenfalls betroffen
• Unbekannt: ob v4.4.x und der LTS-Zweig (v3.7) Fix 2 als Backport erhalten

Behoben in

• Fix 1: Commit 0040ef781e1d (#115768) behebt den Underflow und den Over-Read, schliesst den Out-of-Bounds-Write aber nicht
• Fix 2: Commit 214530895dd3 (#118293) prüft bei jeder RFCOMM-PDU-Allokation den verfügbaren Platz und schliesst den Write
• Auf Zephyr 4.5.0 oder neuer aktualisieren, das beide Fixes enthält
• v4.3.2 enthält nur Fix 1 und erhält keinen Fix 2

Umgehung

• CONFIG_BT_RFCOMM deaktivieren, falls RFCOMM-Profile (SPP, HFP, HSP, GOEP) nicht benötigt werden (nicht durch eine Quelle bestätigt)
• Bluetooth-Classic-Erkennbarkeit und -Verbindbarkeit auf Geräten deaktivieren, auf denen sie nicht benötigt wird

Ausnutzung

• Es wurde bisher kein öffentlicher Exploit-Code bestätigt.
• Gemäss einem Aggregator nicht im CISA-Katalog known exploited vulnerabilities aufgeführt; nicht direkt überprüft.
• Keine bekannte Ausnutzung in freier Wildbahn, das Fehlen einer Ausnutzung ist jedoch nicht bestätigt.

Unsere Empfehlung

• Geräte mit Zephyr und Bluetooth Classic oder RFCOMM-Profilen inventarisieren und deren Firmware-Versionen erfassen.
• Bei Geräteherstellern Firmware auf Basis von Zephyr 4.5.0 oder neuer bzw. einen Backport mit Fix 2 anfordern.
• Bluetooth Classic oder Erkennbarkeit auf Geräten deaktivieren, auf denen sie nicht benötigt wird.
• Das Herstellerdossier GHSA-mhhp-8w67-cggv und NVD nach Abschluss der Analyse erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix 1: commit 0040ef781e1d github.com
• Fix 2: commit 214530895dd3 github.com
• Zephyr security advisory GHSA-mhhp-8w67-cggv github.com
• Zephyr v4.3.2 release github.com
• Zephyr security policy github.com
• CVE-2026-77685 on The Hacker Wire www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:16.