Обработчик транспорта фрагментированных блоков данных LoRaWAN TS004 frag_transport_package_callback() в subsys/lorawan/services/frag_transport.c анализирует байты команд нисходящей линии связи, не проверяя, осталось ли достаточно байтов полезной нагрузки перед каждым доступом. Единственная граница цикла — rx_pos < len; после использования однобайтового идентификатора команды обработчик приводит rx_buf + rx_pos к 10-байтовой структуре frag_transport_setup_req, а для команды DATA_FRAGMENT передает &rx_buf[rx_pos] декодеру фрагмента, который считывает ровно ctx.frag_size байты — без проверки оставшейся длины в любом случае. Размер фрагмента выбирается злоумышленником в предыдущей команде FRAG_SESSION_SETUP (ctx.frag_size = req->frag_size, ограничено CONFIG_LORAWAN_FRAG_TRANSPORT_MAX_FRAG_SIZE, по умолчанию 232). rx_buf создает псевдоним 255-байтового статического буфера MacCtx.RxPayload на уровне MAC-узла loramac, а len — это фактическая длина расшифрованной полезной нагрузки.
Дополняя нисходящий канал командами-заполнителями DATA_FRAGMENT с несовпадающим индексом (каждая из которых увеличивает rx_pos на три байта без получения ответа) и добавляя один фрагмент совпадающего индекса ближе к концу полезной нагрузки, злоумышленник может заставить декодер прочитать примерно байты frag_size после конца RxPayload, копируя соседнюю статическую память в буферы декодера и флэш-образ FOOTA. Обработчик работает только на нисходящих каналах связи, которые уже прошли расшифровку MIC кадра LoRaWAN и FRMPayload, поэтому дефект доступен только стороне, владеющей сеансовыми ключами устройства (сервер FUOTA или злоумышленник, скомпрометировавший эти ключи). Байты, выходящие за пределы допустимого диапазона, никогда не возвращаются отправителю — единственный передаваемый восходящий канал — это ответ о состоянии, содержащий количество фрагментов — поэтому канал прямого раскрытия отсутствует, а в типичных микроконтроллерах LoRaWAN с плоской памятью избыточное чтение остается в отображаемой памяти, что делает сбой маловероятным.
Таким образом, результатом является ограниченное чтение за пределами границ с ограниченными последствиями конфиденциальности и отсутствием примитивов записи или потока управления. Исправление добавляет защиту оставшейся длины перед каждым доступом.
Показать оригинальное описание (EN)
The LoRaWAN TS004 Fragmented Data Block Transport handler frag_transport_package_callback() in subsys/lorawan/services/frag_transport.c parses downlink command bytes without validating that enough payload bytes remain before each access. The loop's only bound is rx_pos < len; after consuming the one-byte command id the handler cast rx_buf + rx_pos to a 10-byte struct frag_transport_setup_req, and for a DATA_FRAGMENT command passed &rx_buf[rx_pos] to the fragment decoder, which reads exactly ctx.frag_size bytes — with no remaining-length check in either case. The fragment size is attacker-chosen in a preceding FRAG_SESSION_SETUP command (ctx.frag_size = req->frag_size, capped at CONFIG_LORAWAN_FRAG_TRANSPORT_MAX_FRAG_SIZE, default 232). rx_buf aliases the 255-byte static MacCtx.RxPayload buffer in the loramac-node MAC layer, while len is the actual decrypted payload length. By padding a downlink with mismatched-index DATA_FRAGMENT filler commands (each advancing rx_pos by three bytes without producing an answer) and appending one matching-index fragment near the end of the payload, an attacker can make the decoder read up to roughly frag_size bytes past the end of RxPayload, copying adjacent static memory into the decoder buffers and the FUOTA flash image. The handler runs only on downlinks that have already passed the LoRaWAN frame MIC and FRMPayload decryption, so the defect is reachable only by a party holding the device's session keys (the FUOTA server or an attacker who has compromised those keys). The out-of-bounds bytes are never returned to the sender — the only uplink emitted is a status answer carrying fragment counts — so there is no direct disclosure channel, and on typical flat-memory LoRaWAN MCUs the over-read stays within mapped memory, making a crash unlikely. The impact is therefore a bounded out-of-bounds read with limited confidentiality consequence and no write or control-flow primitive. The fix adds remaining-length guards before each access.
Характеристики атаки
Последствия
Строка CVSS v3.1