📡 Linux 蓝牙子系统周报

报告周期: 2026-07-15 — 2026-07-22
数据来源: lore.kernel.org/linux-bluetooth
报告生成: 2026-07-23

📊 本周概览

本周基调: 本周是蓝牙子系统的「安全修复密集周」——几乎每个主要子系统（ISO、RFCOMM、hci_sync、mgmt、btnxpuart、btmtksdio）都出现了 use-after-free 或越界读取修复。同时 BlueZ 用户空间在 Channel Sounding / Ranging 上持续大版本迭代（多份补丁已迭代到 v4–v5），是 LE Audio / AoA 生态的活跃信号。

📋 本周要点速览

• • 🔴 ISO UAF：ISO: fix UAF on socket close before shutdown completes（Pauli Virtanen, v3）—— ISO 套接字在关闭前 shutdown 完成的竞态 UAF，核心安全修复。
• • 🔴 mgmt 配对命令 UAF（Ren Wei）+ accept 队列父 socket UAF（Ren Wei）—— 两处管理栈 / L2CAP 配对路径的 use-after-free。
• • 🔴 hci_sync 扫描响应 UAF（Chengfeng Ye）+ RFCOMM set_termios session UAF（Chengfeng Ye）。
• • 🔴 btnxpuart 固件读取越界（Doruk Tan Ozturk, v3）：nxp_recv_fw_req_v1() 的 out-of-bounds read。
• • 🟢 btmtk MT7928 新硬件支持（Chris Lu, v13–v16 大版本，7 patches）—— 本周最重头的驱动新增工作。
• • 🟢 BlueZ Channel Sounding / Ranging 大版本推进：create_context 支持（v1）、RAS UUID 响应式注册（v4→v5）、ProcedureData D-Bus 信号（Prathibha Madugonde）—— LE Audio/AoA 生态核心。
• • 🟢 BlueZ 安全: Don't auto-bond on reactive GATT security elevation（Philipp Dunkel）—— 修复凭据提升场景下的自动绑定的安全问题。
• • 🟡 vendor HCI 帧通用支持 RFC（Zijun Hu，内核 + BlueZ 双线推进）。

🔴 安全修复详解

🟠 新功能与驱动支持

📱 BlueZ 用户空间专题

本周 BlueZ 概览

• • BlueZ 补丁总数：52（含讨论回复）；补丁系列 8 个
• • 涉及模块：rap/ranging、input、tools/iso-tester、test-runner、client、policy、adapter、shared/bt_crypto、gatt/att、profiles、src、doc
• • 主要贡献者：
• • Naga Bhavani Akella（14 封，rap/ranging 主力）
• • Luiz Augusto von Dentz（12 封，维护者/审核）
• • Philipp Dunkel（5 封，安全 + adapter）
• • Prathibha Madugonde（5 封，Channel Sounding ProcedureData）
• • Pakrohk（4 封，HID gamepad quirk）
• • Pauli Virtanen（3 封，iso-tester / 内核同步）

按模块分类

BlueZ 安全修复

• • Don't auto-bond on reactive GATT security elevation（Philipp Dunkel, 0/2）：
  修复 reactive（被动）GATT 安全提升场景下自动建立 bonding 的缺陷，防止凭据被意外升级。
• • tools/iso-tester: fix GIOChannel refcounting（Pauli Virtanen）：引用计数 bug 修复，已被合并。

BlueZ 新功能 / 改进（重要补丁系列）

1. 1. Channel Sounding ProcedureData（Prathibha Madugonde）：聚合 procedure data 并通过 D-Bus ProcedureData 信号暴露——AoA 定位关键能力。
2. 2. create_context 支持（Naga Bhavani Akella, v1 0/4）：CS（Channel Sounding）客户端 create_context 配置参数。
3. 3. RAS UUID 响应式注册（Naga Bhavani Akella, v4→v5）：RAS（Ranging Attribute Service）UUID 从探测式改为响应式注册；reflector setup 集中化。
4. 4. HID gamepad quirk fallback（Pakrohk, v2 0/3）：针对损坏 SDP 记录的 fallback + bluez-quirkctl 工具管理 quirk profiles。
5. 5. adapter: Infer BR/EDR only at public LE addresses（Philipp Dunkel, v2）：安全推断优化。
6. 6. vendor HCI 帧通用支持 RFC（Zijun Hu）：内核 + BlueZ 双线，添加 BT_RCV_VENDOR socket 选项。

LE Audio / BASS / BIS / A2DP 进展

• • 本周 BlueZ 层面未见新的 BASS/BIS/BAP/A2DP 补丁，LE Audio 重心完全落在 Channel Sounding（AoA） 上——这是 LE Audio 生态定位/测距子系统的最新活跃方向。
• • 内核层面 ISO 子系统有重要 UAF 安全修复 + clear iso_data 清理，表明 ISO 连接（LE Audio 管道）正被重点维护。

BlueZ 讨论要点

• • Channel Sounding reflector GATT 注册（v3 2/4）持续多轮评审，reflector 角色 GATT 服务注册是关键。
• • 测试覆盖缺口报告（Yixi Cai）：指出 BNEP/DID/FTP/HFP/MAP/OPP/PAN/PBAP 在 BlueZ 文档树中缺失测试步骤，已被标记 recall。

🔧 驱动子系统更新

💬 重要讨论

🐛 Bug 报告

⚠️ 需要关注的问题（按优先级）

1. 1. 🔴 UAF 集群：本周 ISO、mgmt、hci_sync、RFCOMM、L2CAP accept 几乎全被 UAF 击中——怀疑是内核 CI（syzbot / BluezTestBot）近期密集扫描的结果。多个 v2→v3 版本待 merge，需关注是否引发回归。
2. 2. 🔴 btnxpuart OOB read：固件请求路径越界读取，涉及硬件固件加载，安全敏感。
3. 3. 🟠 btmtk MT7928 v13→v16 大跳跃：版本迭代极快，需关注最终 merge 分支（net-next 还是 bluetooth-next）。
4. 4. 🟡 vendor HCI 帧 RFC：内核 + BlueZ 双线推进，是厂商扩展能力的基础设施，评审结论影响多家厂商。
5. 5. 🟡 btusb poll_sync 顺序 bug：可能影响实时音频 / ISO 数据可靠性。

🔭 下周关注点

• • ISO UAF（v3）、mgmt UAF、hci_sync UAF 的 merge 状态与 stable backport。
• • btmtk MT7928 是否进入 bluetooth-next。
• • BlueZ Channel Sounding create_context / RAS 系列是否推进到可合并版本。
• • vendor HCI 帧 RFC 的评审结论。
• • BlueZ LE Audio BASS/BAP 是否会在新周期回归（本周空白）。