JVNDB-2026-022672

Zephyr ProjectのZephyrにおけるNULL ポインタデリファレンスに関する脆弱性

ZephyrのBluetooth LE Audio Basic Audio Profile（BAP）ユニキャストクライアントは、ピアから提供されるASE状態通知を適切に処理できません。unicast_client_ep_qos_state()関数（subsys/bluetooth/audio/bap_unicast_client.c）では、ハンドラがstream != NULLのガードのみを行い、攻撃者が制御可能なQoSフィールド（interval、framing、phy、sdu、rtn、latency、pd）をstream-＞qosポインタ経由で書き込みます。stream-＞qosは、bt_bap_stream_config()でコーデック設定済みであっても、まだユニキャストグループに追加されていないストリームではNULLとなります（unicast_group_add_stream()によってのみ設定されます）。悪意のある、またはバグを含むリモートASCSサーバ（ローカルデバイスがBAPユニキャストクライアントとして接続されている場合）は、ローカルのエンドポイントがCodec Configured状態のままの間に、ASEがQoS Configured状態に遷移したことを通知するGATT通知を送信できます。この遷移はディスパッチャによって明示的に許可されていますが、その間にNULLポインタを介した書き込みが発生し、クラッシュ（サービス拒否）を引き起こします。書き込まれるデータはリモートから制御されています。この欠陥はv4.3.0およびv4.4.0（それ以前のバージョンも含む）に含まれて出荷されました。修正は、すべてのBAP QoSストレージを常に有効な埋め込みep-qos構造体に再指向し、NULL参照を排除することによって行われました。

Zephyr Project

• Zephyr 4.3.0 から 4.4.1

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Remotely triggerable NULL-pointer dereference in Bluetooth LE Audio BAP unicast client QoS-state handling  Advisory  zephyrproject-rtos/zephyr  GitHub

1. NULL ポインタデリファレンス(CWE-476) [その他]

1. CVE-2026-10593

1. National Vulnerability Database (NVD) : CVE-2026-10593
2. 関連文書 : Bluetooth: BAP: Fix issues with qos pointers  zephyrproject-rtos/zephyr@52f25c9  GitHub

• [2026年07月08日]
    掲載