CVE-2026-2411

{
  "id": "CVE-2026-2411",
  "sourceIdentifier": "[email protected]",
  "published": "2026-08-01T13:16:57.160",
  "lastModified": "2026-10-23T23:10:00.157",
  "vulnStatus": "Analyzed",
  "cveTags": [],
  "descriptions": [
    {
      "lang": "en",
      "value": "Zephyr's Bluetooth host declares a GATT characteristic as two consecutive attributes: a Characteristic Declaration whose permission is hard-coded to BT_GATT_PERM_READ, and a Characteristic Value attribute that carries the application-specified security permissions (e.g. BT_GATT_PERM_READ_ENCRYPT / READ_AUTHEN / READ_LESC). The public notify and indicate APIs explicitly accept either attribute, and passing the declaration is the documented, common idiom. Before sending each notification or indication, the host re-checks link security with bt_gatt_check_perm() against params->attr in gatt_notify(), gatt_indicate(), and gatt_notify_multiple_verify_params() (subsys/bluetooth/host/gatt.c).\n\nWhen the application passed the Characteristic Declaration attribute, the host correctly redirected the value handle but left params->attr pointing at the declaration, so the security check evaluated the declaration's permissions (no security required) instead of the value's. As a result the encryption/authentication/LESC requirement configured on the characteristic value was skipped. The Notify-Multiple path additionally used a mask that omitted the LE Secure Connections requirement.\n\nA remote peer triggers the disclosure by connecting (optionally without pairing or encryption) and writing the Client Characteristic Configuration descriptor to enable notifications or indications, causing the server to emit the protected value over a link that has not reached the required security level. The impact is information disclosure / access-control bypass for characteristic values the application intended to expose only over a secured link; exposure depends on the application declaring encrypt/authen-required notify/indicate characteristics and on the CCC being writable at a lower security tier. There is no memory-safety or availability impact.\n\nThe fix adds bt_gatt_attr_resolve_value(), which maps a declaration attribute to the following value attribute before the permission check, and switches the Notify-Multiple path to the full BT_GATT_PERM_READ_ENCRYPT_MASK so the LESC requirement is also enforced."
    },
    {
      "lang": "es",
      "value": "El host Bluetooth de Zephyr declara una característica GATT como dos atributos consecutivos: una Declaración de Característica cuyo permiso está codificado de forma rígida a BT_GATT_PERM_READ, y un atributo de Valor de Característica que lleva los permisos de seguridad especificados por la aplicación (por ejemplo, BT_GATT_PERM_READ_ENCRYPT / READ_AUTHEN / READ_LESC). Las API públicas de notificación e indicación aceptan explícitamente cualquiera de los dos atributos, y pasar la declaración es el modismo documentado y común. Antes de enviar cada notificación o indicación, el host vuelve a verificar la seguridad del enlace con bt_gatt_check_perm() contra params  ->  attr en gatt_notify(), gatt_indicate(), y gatt_notify_multiple_verify_params() (subsys/bluetooth/host/gatt.c).\n\nCuando la aplicación pasó el atributo de Declaración de Característica, el host redirigió correctamente el manejador de valor pero dejó params  ->  attr apuntando a la declaración, por lo que la verificación de seguridad evaluó los permisos de la declaración (no se requería seguridad) en lugar de los del valor. Como resultado, el requisito de cifrado/autenticación/LESC configurado en el valor de la característica fue omitido. La ruta de Notificación Múltiple adicionalmente usó una máscara que omitía el requisito de Conexiones Seguras LE.\n\nUn par remoto desencadena la revelación al conectarse (opcionalmente sin emparejamiento o cifrado) y escribir el descriptor de Configuración de Característica del Cliente para habilitar notificaciones o indicaciones, haciendo que el servidor emita el valor protegido a través de un enlace que no ha alcanzado el nivel de seguridad requerido. El impacto es revelación de información / bypass de control de acceso para valores de características que la aplicación pretendía exponer solo a través de un enlace seguro; la exposición depende de que la aplicación declare características de notificación/indicación que requieran cifrado/autenticación y de que el CCC sea escribible en un nivel de seguridad inferior. No hay impacto en la seguridad de la memoria o la disponibilidad.\n\nLa solución añade bt_gatt_attr_resolve_value(), que mapea un atributo de declaración al siguiente atributo de valor antes de la verificación de permisos, y cambia la ruta de Notificación Múltiple a la máscara completa BT_GATT_PERM_READ_ENCRYPT_MASK para que el requisito de LESC también se aplique."
    }
  ],
  "affected": [
    {
      "source": "[email protected]",
      "affectedData": [
        {
          "vendor": "zephyrproject",
          "product": "zephyr",
          "defaultStatus": "unaffected",
          "collectionURL": "https://github.com/zephyrproject-rtos/zephyr",
          "packageName": "zephyr",
          "programFiles": [
            "subsys/bluetooth/host/gatt.c"
          ],
          "versions": [
            {
              "version": "2.6.0",
              "lessThan": "4.3.1",
              "versionType": "semver",
              "status": "affected"
            },
            {
              "version": "4.4.0",
              "lessThan": "4.4.2",
              "versionType": "semver",
              "status": "affected"
            }
          ]
        }
      ]
    }
  ],
  "metrics": {
    "cvssMetricV31": [
      {
        "source": "[email protected]",
        "type": "Secondary",
        "cvssData": {
          "version": "3.1",
          "vectorString": "CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N",
          "baseScore": 6.5,
          "baseSeverity": "MEDIUM",
          "attackVector": "ADJACENT_NETWORK",
          "attackComplexity": "LOW",
          "privilegesRequired": "NONE",
          "userInteraction": "NONE",
          "scope": "UNCHANGED",
          "confidentialityImpact": "HIGH",
          "integrityImpact": "NONE",
          "availabilityImpact": "NONE"
        },
        "exploitabilityScore": 2.8,
        "impactScore": 3.6
      }
    ],
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "timestamp": "2026-08-03T17:51:21.391345Z",
          "id": "CVE-2026-2411",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "role": "CISA Coordinator",
          "version": "2.0.3"
        }
      }
    ]
  },
  "weaknesses": [
    {
      "source": "[email protected]",
      "type": "Secondary",
      "description": [
        {
          "lang": "en",
          "value": "CWE-863"
        }
      ]
    }
  ],
  "configurations": [
    {
      "nodes": [
        {
          "operator": "OR",
          "negate": false,
          "cpeMatch": [
            {
              "vulnerable": true,
              "criteria": "cpe:2.3:o:zephyrproject:zephyr:*:*:*:*:*:*:*:*",
              "versionStartIncluding": "2.6.0",
              "versionEndExcluding": "4.5.0",
              "matchCriteriaId": "20060992-9413-4D30-A6CD-598A9F4576E9"
            }
          ]
        }
      ]
    }
  ],
  "references": [
    {
      "url": "https://github.com/zephyrproject-rtos/zephyr/commit/c3386f92fe81bd10dc23e6a115e6a80a7d863546",
      "source": "[email protected]",
      "tags": [
        "Patch"
      ]
    },
    {
      "url": "https://github.com/zephyrproject-rtos/zephyr/security/advisories/GHSA-4w3r-v9q9-4462",
      "source": "[email protected]",
      "tags": [
        "Exploit",
        "Patch",
        "Vendor Advisory"
      ]
    }
  ]
}