Bluetooth GATT notify/indicate enforces the wrong attribute's permissions, bypassing encryption/authentication requirements on characteristic values

Zephyr's Bluetooth host declares a GATT characteristic as two consecutive attributes: a Characteristic Declaration whose permission is hard-coded to BT_GATT_PERM_READ, and a Characteristic Value attribute that carries the application-specified security permissions (e.g. BT_GATT_PERM_READ_ENCRYPT / READ_AUTHEN / READ_LESC). The public notify and indicate APIs explicitly accept either attribute, and passing the declaration is the documented, common idiom. Before sending each notification or indication, the host re-checks link security with bt_gatt_check_perm() against params->attr in gatt_notify(), gatt_indicate(), and gatt_notify_multiple_verify_params() (subsys/bluetooth/host/gatt.c). When the application passed the Characteristic Declaration attribute, the host correctly redirected the value handle but left params->attr pointing at the declaration, so the security check evaluated the declaration's permissions (no security required) instead of the value's. As a result the encryption/authentication/LESC requirement configured on the characteristic value was skipped. The Notify-Multiple path additionally used a mask that omitted the LE Secure Connections requirement. A remote peer triggers the disclosure by connecting (optionally without pairing or encryption) and writing the Client Characteristic Configuration descriptor to enable notifications or indications, causing the server to emit the protected value over a link that has not reached the required security level. The impact is information disclosure / access-control bypass for characteristic values the application intended to expose only over a secured link; exposure depends on the application declaring encrypt/authen-required notify/indicate characteristics and on the CCC being writable at a lower security tier. There is no memory-safety or availability impact. The fix adds bt_gatt_attr_resolve_value(), which maps a declaration attribute to the following value attribute before the permission check, and switches the Notify-Multiple path to the full BT_GATT_PERM_READ_ENCRYPT_MASK so the LESC requirement is also enforced.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 5 Aug 2026, published on 5 August 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

ZephyrのBluetoothホストは、GATTキャラクタリスティックを2つの連続した属性として宣言しています。1つはパーミッションがBT_GATT_PERM_READにハードコーディングされたCharacteristic Declaration（キャラクタリスティック宣言）であり、もう1つはアプリケーションが指定したセキュリティパーミッション（例えばBT_GATT_PERM_READ_ENCRYPT / READ_AUTHEN / READ_LESC）を持つCharacteristic Value属性です。パブリックのnotifyおよびindicate APIは明示的にどちらの属性も受け入れており、宣言属性を渡すことがドキュメントに記載された一般的な慣習となっています。各通知または通知指示の送信前に、ホストはgatt_notify()、gatt_indicate()、およびgatt_notify_multiple_verify_params()（subsys/bluetooth/host/gatt.c）内でbt_gatt_check_perm()を用いてparams-＞attrに対しリンクのセキュリティを再チェックしています。アプリケーションがCharacteristic Declaration属性を渡した場合、ホストは値ハンドルを正しくリダイレクトしましたが、params-＞attrは宣言属性を指したままであったため、セキュリティチェックは宣言のパーミッション（セキュリティ不要）を評価し、値のパーミッションを評価しませんでした。その結果、キャラクタリスティック値に設定された暗号化／認証／LESCの要件がスキップされてしまいました。Notify-Multipleの経路ではさらにLE Secure Connections要件を省略したマスクが使用されていました。リモートのピアは、（ペアリングや暗号化なしでも）接続後にClient Characteristic Configurationディスクリプタを書き込み通知または指示を有効にすることで、この情報漏洩を引き起こします。これにより、要求されるセキュリティレベルに達していないリンク上で保護された値をサーバが送出してしまいます。影響は、アプリケーションが暗号化／認証が必要なnotify/indicateキャラクタリスティックを宣言し、かつCCCがより低いセキュリティレベルで書き込み可能な場合に限り、情報漏洩やアクセス制御の回避が発生します。メモリ安全性や可用性に対する影響はありません。修正では、許可チェック前に宣言属性を次の値属性にマッピングするbt_gatt_attr_resolve_value()を追加し、Notify-Multipleの経路ではBT_GATT_PERM_READ_ENCRYPT_MASKの全てを使用してLESC要件も強制するよう変更しています。