Out-of-bounds read in LoRaWAN fragmented data block transport (FUOTA) downlink handler

The LoRaWAN TS004 Fragmented Data Block Transport handler frag_transport_package_callback() in subsys/lorawan/services/frag_transport.c parses downlink command bytes without validating that enough payload bytes remain before each access. The loop's only bound is rx_pos < len; after consuming the one-byte command id the handler cast rx_buf + rx_pos to a 10-byte struct frag_transport_setup_req, and for a DATA_FRAGMENT command passed &rx_buf[rx_pos] to the fragment decoder, which reads exactly ctx.frag_size bytes — with no remaining-length check in either case. The fragment size is attacker-chosen in a preceding FRAG_SESSION_SETUP command (ctx.frag_size = req->frag_size, capped at CONFIG_LORAWAN_FRAG_TRANSPORT_MAX_FRAG_SIZE, default 232). rx_buf aliases the 255-byte static MacCtx.RxPayload buffer in the loramac-node MAC layer, while len is the actual decrypted payload length. By padding a downlink with mismatched-index DATA_FRAGMENT filler commands (each advancing rx_pos by three bytes without producing an answer) and appending one matching-index fragment near the end of the payload, an attacker can make the decoder read up to roughly frag_size bytes past the end of RxPayload, copying adjacent static memory into the decoder buffers and the FUOTA flash image. The handler runs only on downlinks that have already passed the LoRaWAN frame MIC and FRMPayload decryption, so the defect is reachable only by a party holding the device's session keys (the FUOTA server or an attacker who has compromised those keys). The out-of-bounds bytes are never returned to the sender — the only uplink emitted is a status answer carrying fragment counts — so there is no direct disclosure channel, and on typical flat-memory LoRaWAN MCUs the over-read stays within mapped memory, making a crash unlikely. The impact is therefore a bounded out-of-bounds read with limited confidentiality consequence and no write or control-flow primitive. The fix adds remaining-length guards before each access.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 2 Sept 2026, published on 2 September 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

LoRaWANのTS004 Fragmented Data Block Transportハンドラーfrag_transport_package_callback()（subsys/lorawan/services/frag_transport.c内）は、各アクセス前に十分なペイロードバイトが残っているかを検証せずにダウンリンクのコマンドバイトを解析します。ループの唯一の境界条件はrx_pos ＜ lenであり、1バイトのコマンドIDを消費した後、ハンドラーはrx_buf + rx_posを10バイト構造体frag_transport_setup_reqにキャストし、DATA_FRAGMENTコマンドの場合は&rx_buf[rx_pos]をフラグメントデコーダに渡しますが、デコーダは正確にctx.frag_sizeバイトを読み取ります──どちらの場合も残り長さのチェックはありません。フラグメントサイズは先行するFRAG_SESSION_SETUPコマンドで攻撃者が選択可能であり（ctx.frag_size = req-＞frag_size、CONFIG_LORAWAN_FRAG_TRANSPORT_MAX_FRAG_SIZEで上限設定、デフォルトは232です）、rx_bufはloramac-nodeのMAC層にある255バイトの静的MacCtx.RxPayloadバッファの別名として用いられ、lenは実際の復号済みペイロード長を示します。攻撃者は、不一致インデックスのDATA_FRAGMENTフィラーコマンド（それぞれrx_posを3バイト進めるが応答は生成しない）でダウンリンクをパディングし、ペイロードの終わり近くに一致するインデックスのフラグメントを一つ付加することで、デコーダにRxPayloadの末尾から約frag_sizeバイト分までの越境読み取りを強制し、隣接する静的メモリをデコーダバッファやFUOTAフラッシュイメージにコピーさせることが可能です。ハンドラーはLoRaWANフレームのMIC検証およびFRMPayload復号に合格したダウンリンクでのみ動作するため、この欠陥はデバイスのセッションキーを保持する者（FUOTAサーバーまたはそれらのキーを侵害した攻撃者）のみが悪用可能です。越境読み取りされたバイトは送信元に返されず、唯一発信されるアップリンクはフラグメント数を伝えるステータス応答であるため、直接の情報漏洩チャネルは存在しません。典型的なフラットメモリのLoRaWAN MCU上では越境読み取りはマップ済みメモリ内に留まり、クラッシュが発生しにくい状態です。したがって影響は、限られた機密性の低下を伴う境界越え読み取りの範囲内にとどまり、書き込みや制御フロー操作は発生しません。修正では、各アクセス前に残り長さのガードを追加しています。