Podatności free5gc

W Free5GC v4.2.3 występuje problem wyczerpania zasobów podczas obsługi niepowodzenia ustanawiania sesji PFCP. Gdy SMF nie otrzyma odpowiedzi PFCP Session Establishment Response od UPF, przydzielone zasoby adresów IP UE nie są prawidłowo zwalniane, co przy powtarzających się próbach może wyczerpać pulę adresów IP.

free5GC w wersji 4.2.2 i wcześniejszych zawiera podatność w handlerze NRF RegisterNFInstance, który akceptuje profile NF bez wymuszania formatu UUID, wartości enum nfStatus, zakresów heartBeatTimer, obowiązkowych pól profilu ani ograniczeń adresów nfServices.ipEndPoints. Nieprawidłowe profile są zapisywane w MongoDB i zwracane przez NFDiscover, co pozwala atakującemu z dostępem SBI na reklamowanie kontrolowanych punktów końcowych i przekierowanie sygnalizacji. Problem naprawiono w wersji 4.2.3.

W projekcie Free5GC (do wersji 4.2.3) wykryto lukę w nieznanym kodzie pliku /corefuzzer_deps/free5gc/NFs/amf/internal/gmm/handler.go (komponent Gmm Handler). Manipulacja powoduje warunek wyścigu (race condition). Atak można zainicjować zdalnie, a poprawka została zidentyfikowana jako e323b01464355781b8b8d5dd695e05cbc00a62f2.

W free5GC w wersji 4.2.3 i wcześniejszych funkcje HandleCreateEeSubscriptions oraz HandleQueryeesubscriptions w pliku internal/sbi/api_datarepository.go walidują wartość ścieżki ueId wyrażeniem regularnym, którego końcowa alternatywa .+ akceptuje dowolny niepusty ciąg znaków zamiast ograniczać identyfikatory do obsługiwanych formatów SUPI i GPSI. Podmiot mający dostęp sieciowy do interfejsu UDR SBI może przesłać nie-3GPP identyfikator do endpointu /nudr-dr/v2/subscription-data/{ueId}/context-data/ee-subscriptions, który przechodzi walidację i trafia do normalnego przepływu tworzenia lub zapytania. Nieprawidłowe identyfikatory mogą być utrwalane i odczytywane jako rekordy subskrypcji.

Problem w Free5GC v.4.2.2 umożliwia zdalnemu atakującemu spowodowanie odmowy usługi (DoS) poprzez komponent UPF.

free5GC przed wersją 1.4.5 zawiera podatność w komponencie AUSF, gdzie porównania kryptograficzne (RES* i XRES*, AT_MAC i XMAC) są wykonywane przy użyciu zwykłych funkcji porównujących, a oczekiwana wartość XRES* jest logowana na poziomie INFO. Może to ujawnić materiał uwierzytelniający osobom mającym dostęp do logów AUSF.

Podatność w free5GC (implementacja 5G core network) w wersji 1.4.4 i wcześniejszych. Komponent AUSF przechowuje stan uwierzytelniania w globalnej mapie, co pozwala atakującemu z dostępem do interfejsu SBI/N12 na wysyłanie równoczesnych żądań uwierzytelniania dla tego samego SUPI, powodując nadpisanie kontekstu i odmowę uwierzytelnienia dla wybranego abonenta. Brak dostępnej poprawki.

Podatność w komponencie NssaiAvailabilitySubscriptionCreate systemu free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane żądanie POST.

Błąd polegający na dereferencji wskaźnika NULL w ścieżce przetwarzania CDR w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego ładunku.

Problem w funkcji RechargePut w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Problem w funkcji HandleGetSharedData w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Błąd dereferencji wskaźnika NULL w komponencie obsługi rejestracji UDMC w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego ładunku.

Niewłaściwa walidacja danych wejściowych w funkcji HandleUpdate (plik /sbi/parameter_provision.go) w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Problem w funkcji complexQueryFilterSubprocess w usłudze NRF Discovery w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Niewłaściwa walidacja danych wejściowych w funkcji buildFilter (plik processor/processor.go) w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Problem w punkcie końcowym NF Discovery w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane zapytanie snssais.

Problem w obsłudze NGAP w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowany pakiet NAS PDU.

W free5gc v4.0.1 występuje problem umożliwiający atakującym wywołanie odmowy usługi (DoS) podczas parsowania spreparowanych danych SUCI w trakcie rejestracji UE.

W komponencie dekodera NAS w free5gc v4.0.1 występuje problem umożliwiający atakującym wywołanie odmowy usługi (DoS) poprzez spreparowaną wiadomość Registration Request.

Niewłaściwa walidacja danych wejściowych w handlerze HTTPModifySubscription w free5gc v4.0.1 umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

W komponencie handlera CreateUEContext w free5gc v4.1.0 występuje problem umożliwiający atakującym wywołanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego żądania.

W komponencie AMF NGAP Dispatcher w free5gc v4.0.1 występuje błąd polegający na wyłuskaniu pustego wskaźnika (NULL pointer dereference), co umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez spreparowane wiadomości NGAP podczas inicjalizacji nowego połączenia RAN.

W funkcji CreateUEContextProcedure (/v1/ue-contexts/{supi}) w free5gc v4.1.0 występuje problem umożliwiający atakującym wywołanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego żądania PUT.

W funkcji ModifyAMFEventSubscriptionProcedure (processor/event_exposure.go) w free5gc v4.1.0 występuje problem umożliwiający atakującym wywołanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego żądania PATCH.

W free5GC przed wersją 1.4.5, AUSF nie waliduje pola supiOrSuci w żądaniach uwierzytelniania UE. Bajty null i inne znaki kontrolne przechodzą przez parsowanie JSON i są przekazywane do UDM w nieuciekającej ścieżce URL, co powoduje błąd Go net/url.Parse() i zwraca HTTP 500 z wyciekiem stosu. Nieuwierzytelniony atakujący może wywołać odmowę usługi dla wszystkich abonentów próbujących uwierzytelnienia przez dotknięty AUSF.

W wersjach przed 4.2.2, free5GC's SMF montuje grupę tras zarządzania UPI bez middleware OAuth2 dla przychodzących żądań. W wyniku tego, nieautoryzowane żądanie DELETE /upi/v1/upNodesLinks/gNB1 powoduje awarię handlera z powodu panicznego wskaźnika nil oraz modyfikuje w pamięci topologię użytkownika.

W wersjach przed 4.2.2 free5GC zawiera błąd typu w punkcie końcowym POST /oauth2/token, który może prowadzić do paniki serwera. Błąd ten wynika z niewłaściwego przetwarzania pól w żądaniu, co pozwala atakującemu na wywołanie paniki serwera poprzez odpowiednio skonstruowane żądanie.

W free5GC w wersjach przed 4.2.2 procedura obsługi żądania DELETE /subscription-data/{ueId}/{servingPlmnId}/ee-subscriptions/{subsId}/amf-subscriptions w komponencie UDR powoduje panikę przy pojedynczym uwierzytelnionym żądaniu, gdy podany ueId nie istnieje w UESubsCollection. Mimo ustawienia odpowiedzi 404 kod kontynuuje wykonanie i wykonuje asercję typu na nil, co wywołuje panikę i zwrócenie HTTP 500.

W free5GC przed wersją 4.2.2 procedura obsługi UDR nudr-dr DELETE zawiera dereferencję wskaźnika nil, osiągalną przez pojedyncze uwierzytelnione żądanie po uprzednim utworzeniu subskrypcji EE. Powoduje to panikę i odpowiedź HTTP 500, a endpoint pozostaje podatny na powtarzalne paniki.

W wersjach przed 4.2.2, handler PATCH w free5GC dla zarządzania PFD może spowodować panikę z powodu dereferencji wskaźnika nil, gdy wywołanie UDR nie powiedzie się, a wrapper konsumenta zwraca błąd różny od nil oraz nil *ProblemDetails. To prowadzi do zwrócenia błędu HTTP 500 zamiast kontrolowanej odpowiedzi błędu.

free5GC, open-source'owa implementacja sieci rdzeniowej 5G, w wersjach przed 4.2.2 ma niesynchronizowany zapis do globalnej mapy Subscriptions w handlerze BSF PUT /nbsf-management/v1/subscriptions/{subId}. Przy równoczesnym uwierzytelnionym obciążeniu PUT jedna goroutine może odczytywać mapę, gdy inna do niej zapisuje, co powoduje awarię procesu z błędem krytycznym i wyłączenie całej powierzchni BSF SBI. Podatność naprawiono w wersji 4.2.2.

W free5GC przed wersją 4.2.2 procedura obsługi PCF POST /npcf-policyauthorization/v1/app-sessions ulega panice przy pojedynczym uwierzytelnionym żądaniu, gdy ascReqData.suppFeat == "1" i medComponents zawiera afAppId bez AfRoutReq. Powoduje to dereferencję wskaźnika nil i odpowiedź HTTP 500.

free5GC przed wersją 4.2.2 ma błąd w handlerze PCF POST /npcf-smpolicycontrol/v1/sm-policies (HandleCreateSmPolicyRequest), który powoduje panikę z powodu dereferencji wskaźnika NULL, gdy wywołanie UDR zwraca 404 Not Found, a wrapper zwraca błąd wraz z nil strukturą odpowiedzi. W wersji 4.2.1 endpoint jest również dostępny bez nagłówka Authorization, ponieważ grupa tras Npcf_SMPolicyControl jest zamontowana bez middleware uwierzytelniania.

free5GC to open-source'owa implementacja sieci rdzeniowej 5G. Przed wersją 4.2.2 AMF w Free5GC nie egzekwuje reguł równoczesnych procedur bezpieczeństwa zdefiniowanych w 3GPP TS 33.501 §6.9.5.1. AMF nie sprawdza trwających procedur przekazania N2 przed zainicjowaniem NAS Security Mode Command i odwrotnie, co może prowadzić do niezgodności kontekstów bezpieczeństwa NAS i AS w sieci oraz UE.

W Free5GC 4.2.0 w komponencie aper występuje podatność typu type confusion, która może być zdalnie wykorzystana, choć jest to trudne ze względu na wysoką złożoność.

W funkcji LocalNode.Sess w free5GC 4.1.0 wykryto problem pozwalający atakującym wywołać odmowę usługi lub inne nieokreślone skutki poprzez spreparowany nagłówek Local SEID w żądaniu PFCP Session Modification Request.