Out-of-bounds read in LoRaWAN clock-sync AppTimeAns downlink handler

The LoRaWAN application-layer clock-synchronization service parses downlinks in clock_sync_package_callback() (subsys/lorawan/services/clock_sync.c). Its command loop only guarantees that the one-byte command id is in bounds; for the CLOCK_SYNC_CMD_APP_TIME (AppTimeAns) command the handler then reads a 4-byte time correction via sys_get_le32() plus a 1-byte token without checking that 5 bytes remain in the receive buffer (len - rx_pos). A short or crafted AppTimeAns therefore reads up to 5 bytes past the end of the decrypted payload. The payload (rx_buf/len) is the decrypted application frame delivered to the registered downlink callback (mcps_indication->Buffer/BufferSize). Reaching the handler requires a frame on the clock-sync port that passes LoRaWAN's MAC integrity check and FRMPayload decryption, so the practical attacker is a malicious or compromised network/application server (the designated sender of AppTimeAns) or a party holding the session keys, rather than an arbitrary radio listener. The over-read is bounded: the backing store is a fixed 255-byte static buffer, so the few stray bytes do not fault, and the read values (time_correction, token) are used only internally and never transmitted, so there is no disclosure to the attacker and no crash. The sole effect is that a stale token matching ctx.req_token can apply a garbage time_correction to the device's own clock offset (ctx.time_offset), a minor integrity impact confined to the victim's time estimate. The fix adds an explicit length check that drops a too-short AppTimeAns. Note the sibling one-byte reads in the periodicity and force-resync handlers remain unguarded with the same negligible impact.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 2 Sept 2026, published on 2 September 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

LoRaWANのアプリケーションレイヤーにおけるクロック同期サービスは、clock_sync_package_callback()（subsys/lorawan/services/clock_sync.c）でダウンリンクを解析しています。このサービスのコマンドループでは、1バイトのコマンドIDが範囲内であることのみを保証しています。CLOCK_SYNC_CMD_APP_TIME（AppTimeAns）コマンドにおいては、ハンドラがsys_get_le32()で4バイトの時刻補正値を取得した後に1バイトのトークンを読み取りますが、受信バッファ（len - rx_pos）に5バイトのデータが残っているかどうかを確認していません。そのため、短縮されたまたは細工されたAppTimeAnsは、復号化されたペイロードの末尾から最大5バイトまで読み越してしまいます。ペイロード（rx_buf/len）は、登録されたダウンリンクコールバック（mcps_indication-＞Buffer/BufferSize）に渡される復号化されたアプリケーションフレームです。ハンドラに到達するには、LoRaWANのMAC整合性チェックとFRMPayload復号を通過したクロック同期ポート上のフレームである必要があるため、実質的な攻撃者は、悪意のあるまたは侵害されたネットワーク／アプリケーションサーバー（AppTimeAnsの送信者として指定されている）か、セッションキーを保持する者であり、任意の無線リスナーではありません。この読み越しは範囲が限定されています。バックアップの格納領域は固定長255バイトの静的バッファであるため、余剰バイトがわずかでも致命的な障害には至りません。また、読み取られた値（time_correction、token）は内部でのみ使用され、外部へ送信されないため攻撃者への情報漏洩やクラッシュも発生しません。唯一の影響は、古いトークンがctx.req_tokenと一致した場合に誤ったtime_correctionがデバイス自身のクロックオフセット（ctx.time_offset）に適用されることであり、被害者の時刻推定に限定された軽微な整合性への影響となっています。修正では、明示的な長さチェックを追加し、短すぎるAppTimeAnsを破棄するようにしています。なお、同等の1バイト読み取りが行われる周期性および強制再同期のハンドラも同様に保護されていませんが、その影響も同様に微小です。