CVE-2026-34761

Ella Core, rdzeń 5G przeznaczony dla sieci prywatnych, przed wersją 1.10.0 nie weryfikuje zdolności bezpieczeństwa UE (UE Security Capabilities) otrzymanych w komunikatach NGAP PathSwitchRequest względem lokalnie przechowywanych wartości. Złośliwy gNB może nadpisać przechowywane zdolności bezpieczeństwa UE dowolnymi wartościami, wysyłając pojedynczy spreparowany PathSwitchRequest. Podatność naprawiono w wersji 1.10.0.

Ella Core to sieć rdzeniowa 5G przeznaczona dla sieci prywatnych. W wersjach przed 1.10.0 Ella Core nie egzekwowała zasad bezpieczeństwa dotyczących równoczesnego uruchamiania procedur bezpieczeństwa zdefiniowanych w TS 33.501 §6.9.5.1 — mogła wysłać NAS Security Mode Command, gdy trwało jeszcze przekazanie N2 (i odwrotnie). Równoczesne wystąpienie Security Mode Command i przekazania N2 powoduje niezgodność KgNB między UE a docelowym gNB, co prowadzi do niepowodzenia przekazania. Wymaga to zatrzymanego gNB i wyścigu rejestracji. Podatność została naprawiona w wersji 1.10.0.

Ella Core, zaprojektowane dla prywatnych sieci 5G, przed wersją 1.10.0, pozwalało na wysyłanie sfałszowanych odpowiedzi PDUSessionResourceSetupResponse przez radio z ważnym NG Setup. System nie weryfikował, czy wiadomość dotarła przez odpowiednie połączenie NG, co prowadziło do utworzenia tunelu GTP w kierunku tego radia.

W systemie Ella Core przed wersją 1.8.0 w API PUT /api/v1/subscriber/{imsi} nie jest weryfikowane, czy IMSI z ścieżki URL zgadza się z IMSI z ciała żądania JSON. Uwierzytelniony NetworkManager może zmodyfikować politykę dowolnego abonenta, a dziennik audytu będzie zawierał fałszywy IMSI. Podatność została naprawiona w wersji 1.8.0.

Ella Core to rdzeń 5G przeznaczony dla sieci prywatnych. W wersjach przed 1.7.0 proces ulega panice podczas przetwarzania komunikatów NAS Authentication Response i Authentication Failure pozbawionych IE (elementów informacyjnych). Atakujący może wysłać spreparowane komunikaty NAS, powodując awarię usługi dla wszystkich podłączonych abonentów. Uwierzytelnianie nie jest wymagane.

Ella Core przed wersją 1.7.0 zawiera zakleszczenie w obsłudze powiadomień SCTP w AMF, które zawiesza całą płaszczyznę sterowania AMF do momentu restartu procesu. Atakujący z dostępem do interfejsu N2 może zawiesić Ella Core, powodując odmowę usługi dla wszystkich abonentów.

Ella Core, rdzeń 5G dla sieci prywatnych, w wersjach przed 1.7.0 ulega panice podczas przetwarzania specjalnie spreparowanej wiadomości NGAP LocationReport. Atakujący mogący wysłać takie wiadomości może doprowadzić do awarii procesu.