Out-of-bounds read in PTP management TLV TIME parsing in Zephyr net PTP

The IEEE 1588 PTP management-message parser in subsys/net/lib/ptp/tlv.c mishandles the PTP_MGMT_TIME management id. In tlv_mgmt_post_recv(), the PTP_MGMT_TIME case casts mgmt_tlv->data to a 10-byte struct ptp_timestamp and reads it (then byte-swaps and writes it back) without first checking that the TLV data field is at least sizeof(struct ptp_timestamp). Every sibling management id in the same switch validates its length first; PTP_MGMT_TIME was the only case lacking that check. The length passed in is the management data size (tlv->length - 2), and the upstream guard in ptp_tlv_post_recv() only requires tlv->length > 2, while msg_tlv_post_recv() validates only that the TLV fits within the received byte count, not a per-id minimum. A peer on the local PTP segment can therefore send a PTP_MSG_MANAGEMENT message carrying a short PTP_MGMT_TIME TLV (data as small as 2 bytes), causing the parser to read and write 8 bytes beyond the validated data. The message type and TLV contents are taken straight off the wire, so the path is reachable by any adjacent attacker when CONFIG_PTP is enabled. The over-read and write-back stay within the struct ptp_msg allocation (mgmt_tlv->data lives in the leading mtu[NET_ETH_MTU] union member, so data + 10 lands at most a few bytes past mtu[], inside the same object), so this is an out-of-bounds read of adjacent in-object memory plus a bounded in-place corruption of the message's parsed timestamp, not past-allocation memory corruption. Impact is limited to minor information exposure of adjacent bytes and corruption of the device's parsed management TIME value; there is no crash on the access and no reachable reference-count corruption. The fix adds if (length < sizeof(struct ptp_timestamp)) { return -EBADMSG; } before the cast, matching the other management-id cases and fully closing the receive-path defect.

The Cyber Security Agency of Singapore included this CVE in its official Security Bulletin 2 Sept 2026, published on 2 September 2026. Open the linked bulletin for the product, severity and reference information published in that issue.

subsys/net/lib/ptp/tlv.c の IEEE 1588 PTP 管理メッセージパーサは、PTP_MGMT_TIME 管理IDを誤って処理します。tlv_mgmt_post_recv() 内の PTP_MGMT_TIME ケースでは、mgmt_tlv-＞data を 10バイトの struct ptp_timestamp にキャストして読み取り（その後バイトスワップして書き戻します）が、TLV データフィールドが少なくとも sizeof(struct ptp_timestamp) 分あるかどうかのチェックを最初に行っていません。同じ switch 文内の他の管理IDはすべて長さを先に検証していますが、PTP_MGMT_TIME のみそのチェックが欠けていました。渡される長さは管理データサイズ（tlv-＞length - 2）であり、上流の ptp_tlv_post_recv() のガードは tlv-＞length ＞ 2 のみを要求し、msg_tlv_post_recv() は TLV が受信バイト数内に収まることだけを検証し、IDごとの最小長はチェックしていません。したがって、ローカルのPTPセグメント上のピアが短い PTP_MGMT_TIME TLV（データが最小2バイト）を持つ PTP_MSG_MANAGEMENT メッセージを送信でき、このパーサは検証済みデータの8バイト先まで読み書きしてしまいます。メッセージタイプとTLV内容はそのままネットワークから取得されるため、CONFIG_PTP が有効な場合、隣接した攻撃者がアクセス可能な経路となります。読み過ぎと書き戻しは struct ptp_msg の割り当て内にとどまります（mgmt_tlv-＞data は先頭の mtu[NET_ETH_MTU] ユニオンメンバーに存在し、data + 10 は最大でも mtu[] の数バイト先で同じオブジェクト内です）ので、隣接しているオブジェクト内メモリの範囲外読み取りおよびメッセージのパース済みタイムスタンプの範囲内の破損が発生します。割り当て外のメモリ破損ではなく、アクセス時のクラッシュも参照カウント破損も発生しません。影響は隣接バイトの軽微な情報漏えいと、デバイスのパースされた管理TIME値の破損に限定されます。修正はキャスト前に if (length ＜ sizeof(struct ptp_timestamp)) { return -EBADMSG; } を追加し、他の管理IDケースと一致させて受信経路の欠陥を完全に修正します。