JVNDB-2026-021415

Zephyr ProjectのZephyrにおける境界外書き込みに関する脆弱性

ZephyrのBluetooth Classic Hands-Free Profile (HFP) ハンズフリー役割パーサー(subsys/bluetooth/host/classic/hfp_hf.c)にバッファ外書き込みの脆弱性があります。サービスレベル接続のセットアップ中に、HFはAT+CIND=?を送信し、cind_handle()でAGの+CIND:応答を解析します。この関数は各エントリーにカウンターインデックスを割り当て、cind_handle_values()をリストの各要素に対して呼び出します。cind_handle_values()は、indexがstruct bt_hfp_hfの20要素のint8_t ind_table[]配列の範囲内であることを確認せずにhf-ind_table[index] = iを書き込んでいます。パーサは+CIND:リストのエントリー数に制限を設けていないため、リモートのアテンダントゲートウェイ（悪意のある、侵害された、またはなりすましのBluetooth経由で接続されるピア）が20を超える認識されたインジケータエントリーを含む応答を送信すると、indexが任意に大きくなり、配列の隣接フィールド（機能マスク、SDP/バージョン状態、calls[]配列、作業/アトミックな帳簿など）や静的接続プールスロットを超えて書き込みが発生します。これによりメモリ破損が発生し、単一の不正なAT応答がBluetoothホストのサービス拒否を引き起こす可能性があります。この問題は、同様の処理であるag_indicator_handle_values()が既に同等の境界チェックを実施している一方で、本コミットで同じindex = ARRAY_SIZE(hf-ind_table)のガードを追加して問題を解消しました。CONFIG_BT_HFP_HFが有効なビルドに影響し、初期のHFP HF CINDパーサー(~v1.7)で導入されv4.4.0まで存在しています。

Zephyr Project

• Zephyr 3.7.0 以上 3.7.3 未満
• Zephyr 4.0.0 以上 4.3.1 未満
• Zephyr 4.4.0 以上 4.4.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Out-of-bounds write in Bluetooth Classic HFP HF +CIND response parser during SLC setup  Advisory  zephyrproject-rtos/zephyr  GitHub

1. 境界外書き込み(CWE-787) [その他]

1. CVE-2026-10641

1. National Vulnerability Database (NVD) : CVE-2026-10641
2. 関連文書 : bluetooth: classic: hfp_hf: Fix out-of-bounds access in indicator index  zephyrproject-rtos/zephyr@cf7693a  GitHub

• [2026年06月29日]
    掲載