Linux Kernel: Null-Pointer-Dereferenzierung (CVE-2026-97975)

Was ist betroffen, was ist zu tun

Im Linux-Kernel wurde folgende Schwachstelle behoben: Bluetooth: hci_sysfs: Behebung der Nullzeiger-Dereferenzierung in device_del() Eine Nullzeiger-Dereferenzierung in klist_put() tritt auf, wenn ein Kindgerät (z. B. ein BNEP-Netzwerkgerät in bnep_session) gleichzeitig während der Ablösung durch hci_conn_del_sysfs() von seinem Elternteil entfernt wird.

Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten.

Widersprüchliche Versionsdaten – die Versionsanzeige ist ausgeblendet, bis die Daten bereinigt sind.

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Im Linux-Kernel wurde folgende Schwachstelle behoben: Bluetooth: hci_sysfs: Behebung der Nullzeiger-Dereferenzierung in device_del() Eine Nullzeiger-Dereferenzierung in klist_put() tritt auf, wenn ein Kindgerät (z. B. ein BNEP-Netzwerkgerät in bnep_session) gleichzeitig während der Ablösung durch hci_conn_del_sysfs() von seinem Elternteil entfernt wird. Dies wird durch eine Race-Condition zwischen hci_conn_del_sysfs() und der gleichzeitigen Ablösung von Kindgeräten (z. B. bnep_session, das unregister_netdev() aufruft) verursacht. Während der Ablösung des Geräts erstellt device_del() einen Snapshot eines nicht-NULL-Elternteilzeigers. Gleichzeitig findet hci_conn_del_sysfs() das Kindgerät mit device_find_any_child() und ruft device_move() auf, um es zu NULL umzuparenten, wodurch der Knoten aus der klist seines Elternteils entfernt und knode_parent gelöscht wird. Anschließend ruft device_del() klist_del(&dev->p->knode_parent) mit dem veralteten Eltern-Snapshot auf, was dazu führt, dass klist_put() knode_klist(n)->put auf einen bereits entfernten Knoten dereferenziert, was zu einer Nullzeiger-Dereferenzierung führt. Diese Race-Condition wurde durch den Commit 27aabf27fd01 ("Bluetooth: behebe use-after-free in device_for_each_child()") eingeführt, der device_find_child(..., __match_tty) in hci_conn_del_sysfs. durch device_find_any_child() ersetzt hat. Diese Änderung sollte einen use-after-free verhindern, bei dem conn->dev länger als sein Elternteil hdev->dev existierte, wenn Kindgeräte auf conn->dev verwiesen, da conn->dev nur eine Referenz auf hdev->dev hielt, solange es in sysfs registriert war. Behebe das Problem ordnungsgemäß, indem du in hci_conn_init_sysfs() einen expliziten Verweis auf das Elternteilgerät mit get_device(&hdev->dev) aufnimmst und ihn in bt_link_release() mit put_device(parent) fallen lässt, wenn das conn-Gerät freigegeben wird. Dies stellt sicher, dass hdev->dev während des gesamten Lebenszyklus von conn->dev gültig bleibt und das zugrunde liegende use-after-free behebt. Mit dem korrekt gehaltenen Elternverweis stelle den __match_tty-Filter in hci_conn_del_sysfs() wieder her, sodass device_move() nur bei persistenten RFCOMM TTY-Geräten aufgerufen wird, wie ursprünglich beabsichtigt, und die Race-Condition mit der Ablösung von Netzwerkgeräten beseitigt wird.

Quelle: BSI WID Portal, BSI CSAF, cvelistv5, Microsoft Security Update Guide, NVD (NIST)

Quellen & Referenzen

• git.kernel.orgstable/c/eeabdb25c3209569367e99a85ca9a503b64a646d
• git.kernel.orgstable/c/9e9ece97b8e716890793de261574b8efef7d8702
• git.kernel.orgstable/c/9b851b09b392da68bd715601f10a5adb2d8d19b8

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE – Reanalyses, CVSS-Updates, CPE-Diffs.

1. CVE Modified19.10.2026416baaa9-dc9f-4396-8d5f-8c081fb06d67

   • Affected: nachher Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/97xxx/CVE-2026-97975.json">CVE-2026-97975</a>

2. New CVE Received25.09.2026416baaa9-dc9f-4396-8d5f-8c081fb06d67

   • Description: nachher In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_sysfs: Fix NULL pointer dereference in device_del() A NULL pointer dereference in klist_put() occurs when a child device (such as a BNEP network device in bnep_session) is concurrently being unregistered while hci_conn_del_sysfs() reparents child devices. This is caused by a race condition between hci_conn_del_sysfs() and concurrent child device unregistration (e.g. bnep_session calling unregister_netdev()). During device unregistration, device_del() snapshots a non-NULL parent pointer. Concurrently, hci_conn_del_sysfs() finds the child device using device_find_any_child() and calls device_move() to reparent it to NULL, which removes the node from its parent's klist and clears knode_parent. Subsequently, device_del() calls klist_del(&dev->p->knode_parent) using the stale parent snapshot, causing klist_put() to dereference knode_klist(n)->put on an already removed node, resulting in a NULL pointer dereference. This race was introduced by commit 27aabf27fd01 ("Bluetooth: fix use-after-free in device_for_each_child()"), which replaced device_find_child(..., __match_tty) with device_find_any_child() in hci_conn_del_sysfs(). That change was intended to avoid a use-after-free where conn->dev outlived its parent hdev->dev when child devices held references to conn->dev, because conn->dev only held a reference to hdev->dev while registered in sysfs. Fix the issue properly by taking an explicit reference to the parent device with get_device(&hdev->dev) in hci_conn_init_sysfs() and dropping it with put_device(parent) in bt_link_release() when the conn device is freed. This ensures that hdev->dev remains valid for the entire lifecycle of conn->dev, resolving the underlying use-after-free. With the parent reference held properly, restore the __match_tty filter in hci_conn_del_sysfs() so that device_move() is only invoked on persistent RFCOMM TTY devices as originally intended, eliminating the race condition with unregistering network devices.
   • Affected: nachher New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/97xxx/CVE-2026-97975.json">CVE-2026-97975</a>
   • Reference: nachher https://git.kernel.org/stable/c/9b851b09b392da68bd715601f10a5adb2d8d19b8
   • Reference: nachher https://git.kernel.org/stable/c/9e9ece97b8e716890793de261574b8efef7d8702