Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - subsys/bluetooth/host/classic/hfp_hf.c 中的 bt_hfp_hf_connect（） 會使用 hfp_hf_create（） 配置每個連線的 HFP 免持物件，這會透過將物件的內嵌 hf->sdp_param 傳遞給 bt_sdp_discover（） 來啟動 SDP 探索。該呼叫會將呼叫端擁有的參數區塊連結至 SDP 用戶端的要求清單 （subsys/bluetooth/host/classic/sdp.c 中的 session->reqs）。如果後續的 bt_rfcomm_dlc_connect（） 失敗，受影響的程式代碼會在該發現仍未完成時使用 （void）memset（new_hf， 0， sizeof（*new_hf）） 抹除整個物件，將 SDP 用戶端清單中仍連結的sys_snode_t _node與要求的 func、uuid 和集區指標一起歸零，並將可能已在系統工作佇列上排入佇列的 hf->slc_work 工作專案歸零。相反，該發現無法撤回：
    bt_sdp_discover_cancel（） 在 include/zephyr/bluetooth/classic/sdp.h 中宣告，但沒有實作。
    失敗的分支可透過對等提供的輸入連線。bt_hfp_hf_connect（） 的記錄用途是傳遞從遠端音訊閘道的 SDP 記錄中讀取的 RFCOMM 通道;bt_sdp_get_proto_param（） 和 bt_hfp_hf_connect（） 都不會檢查該值，因此具有 RFCOMM 通道在 1-30 之外通告 HFP AG 記錄的遠端裝置會使 bt_rfcomm_dlc_connect（） 傳回 -EINVAL 並將本機裝置驅動到抹除狀態。當遠端對等體控制連線計時時 （例如，當 RFCOMM 階段作業處於BT_RFCOMM_STATE_DISCONNECTING狀態，或物件建立與 RFCOMM 呼叫之間捨棄 ACL 時），會在不濫用任何應用程式的情況下到達相同的分支。物件被擦除後，藍牙主機會繼續使用它：sdp_client_alloc_buf（） 解除參照 session->param->pool，現在為 NULL，而 SDP 接收路徑透過 null 函數指標呼叫 session->param->func（），這兩個指標都未進行 NULL 檢查。因為擦除也會清除 hf->acl，所以集區插槽會被視為空閒，重試或傳入的 HFP 連線會重新附加相同的仍然連結清單節點，將 session->reqs 變成主機清單遍歷者永遠不會離開的自我參照清單。結果是藍牙主機執行緒中發生故障或無法復原的停擺;雜散間接呼叫是透過攻擊者無法控制其目標的全零指標，因此實際影響是拒絕服務。此修正會保留已分配的物件，並使用新的 BT_HFP_HF_FLAG_RELEASING 旗標標示它，讓 bt_hfp_hf_discover_cb（） 在探索完成後釋放它，而不是在 SDP 用戶端下銷毀它。只有啟用了 CONFIG_BT_CLASSIC 和 CONFIG_BT_HFP_HF 的組建才會受到影響。（CVE-2026-82388）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - subsys/bluetooth/host/classic/hfp_hf.c 中的 bt_hfp_hf_connect（） 使用 hfp_hf_create（） 分配每个连接的 HFP 免提对象，这通过将对象的嵌入式 hf->sdp_param传递给 bt_sdp_discover（） 来启动 SDP 发现。该调用会将调用方拥有的参数块链接到 SDP 客户端的请求列表中（subsys/bluetooth/host/classic/sdp.c 中的 session->reqs）。如果后续的 bt_rfcomm_dlc_connect（） 随后失败，则受影响的代码会在该发现仍未完成时使用 （void）memset（new_hf， 0， sizeof（*new_hf）） 擦除整个对象，将 SDP 客户端列表中仍然链接的sys_snode_t _node与请求的函数、uuid 和池指针清零，并将可能已在系统工作队列上排队的 hf->slc_work 工作项清零。该发现无法改为撤回：
    include/zephyr/bluetooth/classic/sdp.h 中声明了 bt_sdp_discover_cancel（），但没有实现。
    通过对等机提供的输入可访问失败的分支。记录的 bt_hfp_hf_connect（） 用途用于将 RFCOMM 通道读取从远程音频网关的 SDP 记录传出;bt_sdp_get_proto_param（） 和 bt_hfp_hf_connect（） 都不会对该值进行范围检查，因此远程设备播发具有 1-30 之外的 RFCOMM 信道的 HFP AG 记录会使 bt_rfcomm_dlc_connect（） 返回 -EINVAL 并将本地设备驱动到擦除状态。当远程对等机控制连接时序时（例如，当 RFCOMM 会话处于BT_RFCOMM_STATE_DISCONNECTING状态或对象创建与 RFCOMM 调用之间丢弃 ACL 时），可在不发生任何应用程序滥用的情况下访问同一分支。对象擦除后，蓝牙主机会继续使用该对象：sdp_client_alloc_buf（） 取消引用 session->param->pool（现在为 NULL），而 SDP 接收路径通过空函数指针调用 session->param->func（），而这两个函数均未进行 NULL 检查。由于擦除也会清除 hf->acl，所以池槽被视为空闲，重试或传入的 HFP 连接会重新附加相同的仍然链接的列表节点，从而将 session->reqs 转变为主机的列表遍历者永远不会离开的自引用列表。结果是蓝牙主机线程中发生错误或无法恢复的挂起;零散的间接调用是通过攻击者无法控制其目标的全零指针进行，因此实际影响为拒绝服务。该补丁保持分配对象并使用新BT_HFP_HF_FLAG_RELEASING标记对其进行标记，让 bt_hfp_hf_discover_cb（） 在发现完成后释放该对象，而不是在 SDP 客户端下将其销毁。仅启用了 CONFIG_BT_CLASSIC 和 CONFIG_BT_HFP_HF 的版本受到影响。（CVE-2026-82388）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - subsys/bluetooth/host/classic/hfp_hf.c の bt_hfp_hf_connect() は、hfp_hf_create() で接続ごとの HFP ハンズフリーオブジェクトを割り当てます。() は、オブジェクトの埋め込み hf->sdp_param を bt_sdp_discover() に渡すことで SDP ディスカバリを開始します。その呼び出しは、呼び出し元所有のパラメーターブロックを SDP クライアントのリクエストリスト(subsys/bluetooth/host/classic/sdp.c の session->reqs)にリンクします。後続の bt_rfcomm_dlc_connect() が失敗する場合、その検出が未処理である間に、影響を受けるコードが (void)memset(new_hf, 0, sizeof(*new_hf)) でオブジェクト全体をワイプし、リクエストの func、uuid およびプールポインターと共に SDP クライアントのリストにリンクされているsys_snode_t _nodeを 0 にし、システム作業キューに既にキューイングされている hf->slc_work 作業項目を 0 にしました。代わりに、ディスカバリを撤回できませんでした。
    bt_sdp_discover_cancel()はinclude/zephyr/bluetooth/classic/sdp.hで宣言されていますが、実装されていません。
    障害の発生しているブランチは、ピア指定の入力で到達できます。文書化されている bt_hfp_hf_connect() の使用法は、リモートのオーディオゲートウェイの SDP レコードから RFCOMM チャネル読み出しを渡すためのものです。bt_sdp_get_proto_param() も bt_hfp_hf_connect() もその値を範囲チェックしません。このため、1-30 より外側の RFCOMM チャネルを持つ HFP AG レコードをアドバタイズするリモートデバイスは、bt_rfcomm_dlc_connect() に -EINVAL を返し、ローカルデバイスをワイプにドライブします。リモートピアが接続タイミングを制御するとき、たとえば RFCOMM セッションがBT_RFCOMM_STATE_DISCONNECTING中であるか、ACL がオブジェクト作成と RFCOMM 呼び出しの間にドロップされたときなど、アプリケーションの誤用なしに同じブランチに到達します。オブジェクトがワイプされると、Bluetoothホストはオブジェクトを使用し続けます。sdp_client_alloc_buf() は session->param->pool を逆参照しますが、これは現在 NULL であり、SDP 受信パスは NULL 関数ポインターを通じて session->param->func() を呼び出します。どちらも NULL チェックを受けていません。ワイプは hf->acl もクリアするため、プールスロットは空いているとみなされ、再試行または着信 HFP 接続は、まだリンクされている同じリストノードを再追加するため、session->reqs を、ホストのリストウォーカーが決して離れることのない自己参照リストに変えます。その結果、Bluetoothホストスレッドに障害または回復不能なハングが発生します。stray 間接呼び出しは、攻撃者がコントロールできないターゲットのすべてゼロポインターを介して行われるため、実際的な影響はサービス拒否です。この修正はオブジェクトに割り当てられたままにし、新しいBT_HFP_HF_FLAG_RELEASINGフラグでマークを付けることで、SDPクライアントの下で破棄せずに検出が完了すると、bt_hfp_hf_discover_cb()がオブジェクトをリリースするようにします。CONFIG_BT_CLASSICとCONFIG_BT_HFP_HFが有効になっているビルドのみが影響を受けます。(CVE-2026-82388)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - bt_hfp_hf_connect() in subsys/bluetooth/host/classic/hfp_hf.c allocates the per-connection HFP Hands-Free     object with hfp_hf_create(), which starts an SDP discovery by passing the object's embedded hf->sdp_param     to bt_sdp_discover(). That call links the caller-owned parameter block into the SDP client's request list     (session->reqs in subsys/bluetooth/host/classic/sdp.c). If the subsequent bt_rfcomm_dlc_connect() then     failed, the affected code wiped the entire object with (void)memset(new_hf, 0, sizeof(*new_hf)) while that     discovery was still outstanding, zeroing the sys_snode_t _node that is still linked in the SDP client's     list along with the request's func, uuid and pool pointers, and zeroing the hf->slc_work work item that     may already be queued on the system workqueue. The discovery could not be retracted instead:
    bt_sdp_discover_cancel() is declared in include/zephyr/bluetooth/classic/sdp.h but has no implementation.
    The failing branch is reachable with peer-supplied input. The documented use of bt_hfp_hf_connect() is to     pass the RFCOMM channel read out of the remote Audio Gateway's SDP record; neither     bt_sdp_get_proto_param() nor bt_hfp_hf_connect() range-checks that value, so a remote device advertising     an HFP AG record with an RFCOMM channel outside 1-30 makes bt_rfcomm_dlc_connect() return -EINVAL and     drives the local device into the wipe. The same branch is reached without any application misuse when the     remote peer controls connection timing, for example when the RFCOMM session is in     BT_RFCOMM_STATE_DISCONNECTING or the ACL is dropped between object creation and the RFCOMM call. Once the     object has been wiped, the Bluetooth host continues to use it: sdp_client_alloc_buf() dereferences     session->param->pool, which is now NULL, and the SDP receive paths call session->param->func() through a     null function pointer, neither of which is NULL-checked. Because the wipe also clears hf->acl, the pool     slot is considered free and a retry or an incoming HFP connection re-appends the same still-linked list     node, turning session->reqs into a self-referential list that the host's list walkers never leave. The     result is a fault or an unrecoverable hang in the Bluetooth host thread; the stray indirect call is     through an all-zero pointer whose target the attacker does not control, so the practical impact is denial     of service. The fix keeps the object allocated and marks it with a new BT_HFP_HF_FLAG_RELEASING flag,     letting bt_hfp_hf_discover_cb() release it once the discovery completes instead of destroying it under the     SDP client. Only builds with CONFIG_BT_CLASSIC and CONFIG_BT_HFP_HF enabled are affected. (CVE-2026-82388)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
372668	Linux Distros 未修補弱點：CVE-2026-82388	Nessus	Misc.	10/28/2026	10/29/2026	medium
372668	Linux Distros 未修补的漏洞：CVE-2026-82388	Nessus	Misc.	10/28/2026	10/29/2026	medium
372668	Linux Distros のパッチ未適用の脆弱性: CVE-2026-82388	Nessus	Misc.	10/28/2026	10/29/2026	medium
372668	Linux Distros Unpatched Vulnerability : CVE-2026-82388	Nessus	Misc.	10/28/2026	10/29/2026	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium