CVE-2026-91855

W Open5GS w wersji 2.8.0 występuje problem wyczerpania pamięci w serwerze HTTP/2 SBI. Powtarzające się nazwy nagłówków powodują wyciek wcześniej przydzielonych łańcuchów nagłówków, a kompresja HPACK pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać dziesiątki tysięcy zduplikowanych nagłówków małym żądaniem. Powtarzane spreparowane żądania mogą powodować trwały wzrost sterty, wyczerpanie pamięci procesu i zakończenie dotkniętej funkcji sieciowej Open5GS, prowadząc do odmowy usługi.

W open5GS v2.8.0 w ścieżce obsługi transakcji PFCP istnieje podatność na odmowę usługi. Gdy pula transakcji lub timerów PFCP zostanie wyczerpana, ogs_pfcp_xact_remote_create() zwraca NULL, co prowadzi do niepowodzenia ogs_assert(new) w ogs_pfcp_xact_receive() i zakończenia procesu funkcji sieciowej sygnałem SIGABRT.

Open5GS do wersji 2.8.0 zawiera podatność na odczyt poza zakresem pamięci (heap out-of-bounds read) w funkcji ogs_pfcp_parse_volume_measurement() w lib/pfcp/types.c. Zdalny, nieuwierzytelniony atakujący może wysłać żądanie PFCP Session Report Request do SMF na porcie UDP 8805 z krótkim, zawierającym wszystkie flagi Volume Measurement IE, co pozwala na odczyt do 48 bajtów i potencjalnie może spowodować awarię SMF.

W Open5GS do wersji 2.8.0 wykryto lukę w funkcji smf_n4_handle_session_report_request w pliku src/smf/n4-handler.c, w komponencie obsługi żądań raportu sesji PFCP. Manipulacja prowadzi do osiągalnego asercji, a atak może być zainicjowany zdalnie.

Open5GS w wersjach 2.6.1–2.8.0 zawiera podatność na odczyt poza granicami bufora w funkcji parse_scheme_output() w pliku lib/sbi/conv.c podczas de-koncealmentu SUCI, spowodowaną niepełną walidacją długości. Zdalni nieuwierzytelnieni UE lub peery SBI mogą przesłać spreparowany SUCI z 42-bajtowym wyjściem scheme do UDM, wywołując odczyt sterty poza buforem.

Open5GS w wersjach od 1.3.0 do 2.8.0 zawiera podatność polegającą na zapisie poza granicami bufora sterty w funkcji parse_multipart(). Nieuwierzytelniony atakujący może uszkodzić pamięć, dostarczając pusty boundary w żądaniu multipart.

Open5GS do wersji 2.8.0 zawiera podatność osiągalnej asercji w funkcji mme_gn_handle_sgsn_context_request(), umożliwiającą zdalnym nieuwierzytelnionym atakującym zawieszenie MME poprzez zniekształcone elementy SGSN Address IE. Atakujący wysyłający ruch GTPv1-C z skonfigurowanego adresu SGSN ze znanym IMSI lub P-TMSI UE mogą podać nieprawidłową długość adresu, aby zakończyć działanie open5gs-mmed, odmawiając usługi wszystkim abonentom.

Open5GS do wersji 2.8.0 zawiera podatność odczytu poza granicami sterty w funkcji ogs_pfcp_parse_dropped_dl_traffic_threshold(), umożliwiającą zdalnym nieuwierzytelnionym atakującym odczyt poza buforami IE poprzez krótkie IE. Atakujący mogą wysyłać żądania PFCP Session Establishment lub Modification do UPF na porcie UDP 8805 z ustawionymi flagami DLPA i DLBY, potencjalnie powodując awarię UPF.

W Open5GS do wersji 2.7.7 zidentyfikowano słabość w funkcji ogs_pfcp_xact_local_create w pliku src/upf/gtp-path.c komponentu GTP-U Receive Path. Ta manipulacja powoduje alokację zasobów. Atak może być przeprowadzony zdalnie. Exploit został udostępniony publicznie i może być wykorzystany do ataków. Zalecane jest zastosowanie poprawki o nazwie 9ffc252482d9b03ac01abcedbe95497ff4f95dd0.

W Open5GS do wersji 2.8.0 wykryto podatność w funkcji ogs_pfcp_parse_volume_measurement w bibliotece lib/pfcp/types.c, w komponencie PFCP Handler. Manipulacja danymi prowadzi do dereferencji wskaźnika null. Atak można przeprowadzić zdalnie, a poprawka została zidentyfikowana jako 8f07b507b78ff94776f2cd49276eb116ed93d7f2.