Podatności Open5GS

W Open5GS w wersji 2.8.0 występuje problem wyczerpania pamięci w serwerze HTTP/2 SBI. Powtarzające się nazwy nagłówków powodują wyciek wcześniej przydzielonych łańcuchów nagłówków, a kompresja HPACK pozwala nieuwierzytelnionemu zdalnemu atakującemu wywołać dziesiątki tysięcy zduplikowanych nagłówków małym żądaniem. Powtarzane spreparowane żądania mogą powodować trwały wzrost sterty, wyczerpanie pamięci procesu i zakończenie dotkniętej funkcji sieciowej Open5GS, prowadząc do odmowy usługi.

W open5GS v2.8.0 w ścieżce obsługi transakcji PFCP istnieje podatność na odmowę usługi. Gdy pula transakcji lub timerów PFCP zostanie wyczerpana, ogs_pfcp_xact_remote_create() zwraca NULL, co prowadzi do niepowodzenia ogs_assert(new) w ogs_pfcp_xact_receive() i zakończenia procesu funkcji sieciowej sygnałem SIGABRT.

Open5GS do wersji 2.8.0 zawiera podatność na odczyt poza zakresem pamięci (heap out-of-bounds read) w funkcji ogs_pfcp_parse_volume_measurement() w lib/pfcp/types.c. Zdalny, nieuwierzytelniony atakujący może wysłać żądanie PFCP Session Report Request do SMF na porcie UDP 8805 z krótkim, zawierającym wszystkie flagi Volume Measurement IE, co pozwala na odczyt do 48 bajtów i potencjalnie może spowodować awarię SMF.

W Open5GS do wersji 2.8.0 wykryto lukę w funkcji smf_n4_handle_session_report_request w pliku src/smf/n4-handler.c, w komponencie obsługi żądań raportu sesji PFCP. Manipulacja prowadzi do osiągalnego asercji, a atak może być zainicjowany zdalnie.

Open5GS w wersjach 2.6.1–2.8.0 zawiera podatność na odczyt poza granicami bufora w funkcji parse_scheme_output() w pliku lib/sbi/conv.c podczas de-koncealmentu SUCI, spowodowaną niepełną walidacją długości. Zdalni nieuwierzytelnieni UE lub peery SBI mogą przesłać spreparowany SUCI z 42-bajtowym wyjściem scheme do UDM, wywołując odczyt sterty poza buforem.

Open5GS w wersjach od 1.3.0 do 2.8.0 zawiera podatność polegającą na zapisie poza granicami bufora sterty w funkcji parse_multipart(). Nieuwierzytelniony atakujący może uszkodzić pamięć, dostarczając pusty boundary w żądaniu multipart.

Open5GS do wersji 2.8.0 zawiera podatność osiągalnej asercji w funkcji mme_gn_handle_sgsn_context_request(), umożliwiającą zdalnym nieuwierzytelnionym atakującym zawieszenie MME poprzez zniekształcone elementy SGSN Address IE. Atakujący wysyłający ruch GTPv1-C z skonfigurowanego adresu SGSN ze znanym IMSI lub P-TMSI UE mogą podać nieprawidłową długość adresu, aby zakończyć działanie open5gs-mmed, odmawiając usługi wszystkim abonentom.

Open5GS do wersji 2.8.0 zawiera podatność odczytu poza granicami sterty w funkcji ogs_pfcp_parse_dropped_dl_traffic_threshold(), umożliwiającą zdalnym nieuwierzytelnionym atakującym odczyt poza buforami IE poprzez krótkie IE. Atakujący mogą wysyłać żądania PFCP Session Establishment lub Modification do UPF na porcie UDP 8805 z ustawionymi flagami DLPA i DLBY, potencjalnie powodując awarię UPF.

W Open5GS do wersji 2.7.7 zidentyfikowano słabość w funkcji ogs_pfcp_xact_local_create w pliku src/upf/gtp-path.c komponentu GTP-U Receive Path. Ta manipulacja powoduje alokację zasobów. Atak może być przeprowadzony zdalnie. Exploit został udostępniony publicznie i może być wykorzystany do ataków. Zalecane jest zastosowanie poprawki o nazwie 9ffc252482d9b03ac01abcedbe95497ff4f95dd0.

W Open5GS do wersji 2.8.0 wykryto podatność w funkcji ogs_pfcp_parse_volume_measurement w bibliotece lib/pfcp/types.c, w komponencie PFCP Handler. Manipulacja danymi prowadzi do dereferencji wskaźnika null. Atak można przeprowadzić zdalnie, a poprawka została zidentyfikowana jako 8f07b507b78ff94776f2cd49276eb116ed93d7f2.

W Open5GS do wersji 2.7.7 wykryto lukę w pliku lib/pfcp/handler.c w komponencie PFCP Message Handler. Manipulacja prowadzi do odmowy usługi (denial of service). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Poprawka jest dostępna jako patch o nazwie 028e1dbb5e3271035ccee906ef417a97fc523f71.

W Open5GS do wersji 2.7.x wykryto lukę w funkcji amf_nnrf_try_old_amf_discovery_fallback w pliku src/amf/nnrf-handler.c komponentu Old AMF Discovery Fallback. Manipulacja argumentem discovery_option prowadzi do użycia zwolnionej pamięci (use after free), a atak można przeprowadzić zdalnie. Poprawka została zidentyfikowana jako ddd683a35f8aaac2b7b9884a24cd53bddfc65238.

Podatność znaleziona w Open5GS 2.7.7/2.8.0 dotyczy nieznanego kodu komponentu AMF/MME. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Identyfikator poprawki to 9468de94caed2fc940f4a23cbf734651896d0fde. Aby naprawić ten problem, zaleca się wdrożenie poprawki.

Podatność przepełnienia bufora w Open5GS v2.7.7 umożliwia zdalnemu atakującemu spowodowanie odmowy usługi (DoS) poprzez funkcję ogs_sbi_time_parse().

Wykryto słabość w Open5GS do wersji 2.7.7. Dotyczy ona funkcji smf_nudm_sdm_handle_get w pliku src/smf/nudm-handler.c w komponencie SMF. Wykonanie manipulacji argumentem preemptCap może prowadzić do osiągalnego asercji. Atak może być uruchomiony zdalnie. Aktualizacja do wersji 2.8.0 jest wystarczająca do naprawy. Poprawka nazywa się 4554405f29bffd7562abedbee63484825bd90cd5.

Wykryto wadę bezpieczeństwa w Open5GS do wersji 2.7.7. Dotyczy ona funkcji amf_namf_comm_handle_n1_n2_message_transfer w pliku src/amf/namf-handler.c w komponencie N1-N2 Message Handler. Wykonanie manipulacji argumentem N1N2MessageTransferReqData.n2InfoContainer.smInfo.n2InfoContent.ngapIeType prowadzi do odmowy usługi. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być użyty do ataków. Aktualizacja do wersji 2.8.0 jest zalecana. Poprawka nazywa się abf8a836564b966b5141110fc25ed413c4f17522.

Wykryto podatność w Open5GS do wersji 2.7.7. Problem dotyczy nieznanego przetwarzania w pliku src/amf/namf-handler.c w komponencie Transfer Endpoint. Taka manipulacja prowadzi do wyłuskania wskaźnika null. Atak może być uruchomiony zdalnie. Aktualizacja do wersji 2.8.0 jest w stanie rozwiązać ten problem. Nazwa poprawki to abf8a836564b966b5141110fc25ed413c4f17522.

Wykryto podatność w Open5GS do wersji 2.7.7. Podatność dotyczy funkcji amf_namf_comm_decode_ue_mm_context_list w pliku src/amf/namf-handler.c w komponencie AMF. Manipulacja argumentem ueContext.mmContextList[*].allowedNssai powoduje uszkodzenie pamięci. Atak może być zainicjowany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 2.8.0 jest w stanie rozwiązać ten problem. Nazwa poprawki: abf8a836564b966b5141110fc25ed413c4f17522.

Przepełnienie liczby całkowitej w komponencie SMF systemu Open5GS v2.7.6 umożliwia atakującym spowodowanie Denial of Service (DoS) poprzez dostarczenie spreparowanego pakietu GTP.

W komponencie /nsmf-pdusession/v1/sm-contexts w Open5GS v2.7.6 występuje osiągalna podatność asercji (reachable assertion), która umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego żądania DELETE.

W interfejsie NUDM-UECM w Open5GS v2.7.6 występuje osiągalna podatność asercji (reachable assertion), która umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego żądania DELETE.

W komponencie /nnrf-disc/v1/nf-instances w open5gs v2.7.6 występuje przepełnienie liczby całkowitej (integer overflow), które umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego żądania HTTP/2 GET.

W Open5GS do wersji 2.8.0 wykryto podatność w nieznanej funkcji pliku src/hss/hss-cx-path.c komponentu HSS. Manipulacja argumentem User-Name powoduje osiągalne asercje (reachable assertion). Atak może być przeprowadzony zdalnie, a exploit jest opublikowany.

W Open5GS 2.8.0 znaleziono usterkę w nieznanym kodzie komponentu AMF UEContextReleaseRequest Path Handler. Wykonanie manipulacji prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie.

W Open5GS 2.8.0 wykryto podatność w funkcji pcrf_rx_aar_cb pliku src/pcrf/pcrf-rx-path.c komponentu Rx AA-Request Handler. Manipulacja prowadzi do odczytu poza dozwolonym obszarem pamięci. Atak może być przeprowadzony zdalnie.

W Open5GS 2.8.0 stwierdzono podatność w funkcji hss_ogs_diam_s6a_air_cb pliku src/hss/hss-s6a-path.c komponentu S6a Authentication-Information-Request Handler. Manipulacja argumentem Visited-PLMN-Id prowadzi do przepełnienia bufora na stercie. Atak może być przeprowadzony zdalnie.

Podatność przepełnienia bufora w Open5GS v.2.7.0 pozwala zdalnemu atakującemu spowodować odmowę usługi poprzez łańcuch dekodera NAS 5GS, gdy bajt typu wiadomości w pakiecie NAS PDU zostanie zmutowany.

Problem w Open5GS v.2.7.0 pozwala zdalnemu atakującemu spowodować odmowę usługi poprzez funkcję ngap_send_to_nas() w pliku src/amf/ngap-path.c.

W Open5GS do wersji 2.7.6 wykryto podatność w funkcji smf_gx_cca_cb komponentu SMF Diameter Gx Credit-Control-Answer Handler, która prowadzi do odmowy usługi. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony.

W Open5GS do wersji 2.7.6 wykryto podatność w funkcji fd_msg_sess_get komponentu HSS Service, która prowadzi do odmowy usługi. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

W Open5GS do wersji 2.7.1 wykryto podatność w komponencie freeDiameter. Nieznana funkcjonalność powoduje uszkodzenie pamięci. Atak może być przeprowadzony zdalnie.

W Open5GS do wersji 2.7.6 wykryto podatność w funkcji diam_log_func pliku lib/diameter/common/init.c komponentu CER Handler. Manipulacja prowadzi do osiągalnego asercji. Atak może być wykonany zdalnie. Exploit jest publiczny. Aktualizacja do wersji 2.7.7 rozwiązuje problem.

W Open5GS do wersji 2.7.1 wykryto podatność w funkcji pcrf_rx_aar_cb pliku src/pcrf/pcrf-rx-path.c komponentu Diameter Rx Handler. Manipulacja argumentami num_of_media_component/num_of_sub prowadzi do przepełnienia bufora. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Aktualizacja do wersji 2.7.2 rozwiązuje problem.

W Open5GS do wersji 2.7.1 wykryto podatność w funkcji mme_s6a_subscription_data_from_avp pliku src/mme/mme-fd-path.c komponentu Diameter S6a Interface. Manipulacja argumentem msisdn_len prowadzi do przepełnienia bufora na stercie. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony. Aktualizacja do wersji 2.7.2 rozwiązuje problem.

W Open5GS do wersji 2.7.1 znaleziono podatność w funkcjach hss_ogs_diam_s6a_air_cb/hss_ogs_diam_s6a_ulr_cb w pliku src/hss/hss-s6a-path.c komponentu Diameter S6a Interface. Manipulacja argumentem os.len prowadzi do przepełnienia bufora na stosie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Aktualizacja do wersji 2.7.2 łagodzi problem.

W Open5GS do wersji 2.7.7 włączając, w handlerze tożsamości mobilnej 5GS NAS AMF występuje przed uwierzytelnieniem odczyt poza zakresem sterty, co może prowadzić do odmowy usługi dla wszystkich abonentów.

W Open5GS 2.7.7 w komponencie AMF wykryto podatność polegającą na użyciu po zwolnieniu (use-after-free) w funkcji amf_context_final w pliku src/amf/context.c. Atak wymaga lokalnego dostępu i został upubliczniony, co umożliwia jego wykorzystanie.

W komponencie AMF projektu Open5GS do wersji 2.7.7 wykryto podatność na atak DoS (odmowa usługi). Funkcja amf_nnrf_handle_nf_discover w pliku src/amf/nnrf-handler.c może zostać wykorzystana zdalnie do wywołania awarii systemu. Exploit jest publicznie dostępny.

W systemie Open5GS do wersji 2.7.6 wykryto podatność na wyścig (race condition) w funkcji gmm_state_security_mode pliku src/amf/gmm-sm.c w komponencie NGAP Handover. Atak jest zdalny, ale wymaga wysokiej złożoności.

W Open5GS do wersji 2.7.6 wykryto podatność w komponencie NGAP PathSwitchRequest Message Handler w pliku src/amf/ngap-handler.c. Manipulacja prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W Open5GS do wersji 2.7.7 w funkcji handle_amf_info w bibliotece /lib/sbi/nnrf-handler.c komponentu nf-instances Endpoint, manipulacja argumentem nf_info_pool prowadzi do nadmiernego zużycia zasobów. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W systemie Open5GS do wersji 2.7.7 stwierdzono podatność na odmowę usługi w funkcji ogs_pool_id_calloc w bibliotece /lib/sbi/nghttp2-server.c. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.

W Open5GS do wersji 2.7.7 wykryto podatność w funkcji ogs_sbi_xact_add w bibliotece /lib/core/ogs-timer.c w komponencie ue-authentications Endpoint. Manipulacja prowadzi do odmowy usługi (DoS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Open5GS do wersji 2.7.7 ma podatność w bibliotece lib/sbi/nnrf-handler.c (komponent Shared NF-profile Parser), prowadzącą do odmowy usługi.

W Open5GS do wersji 2.7.7 funkcja handle_scp_info w bibliotece lib/sbi/nnrf-handler.c komponentu Shared NF-profile Parser powoduje zapis poza dozwolonym obszarem pamięci (out-of-bounds write). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W bibliotece lib/sbi/nnrf-handler.c w Open5GS do wersji 2.7.7 występuje podatność na atak DoS poprzez manipulację w parserze Shared NF-profile. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W Open5GS do wersji 2.7.6 wykryto podatność w funkcji ran_ue_find_by_amf_ue_ngap_id w pliku src/amf/context.c komponentu AMF/MME, prowadzącą do niewłaściwej autoryzacji. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.

Open5GS do wersji 2.7.7 zawiera podatność w funkcji OpenAPI_list_create komponentu SMF, prowadzącą do odmowy usługi (DoS). Atak może być przeprowadzony zdalnie. Exploit został ujawniony.

Open5GS do wersji 2.7.7 zawiera podatność w funkcji smf_nsmf_handle_created_data_in_vsmf komponentu SMF, prowadzącą do odmowy usługi (DoS). Atak może być zdalny. Exploit został opublikowany.

W Open5GS do wersji 2.7.7 wykryto podatność w funkcji gsm_build_pdu_session_establishment_accept komponentu SMF, która po manipulacji prowadzi do odmowy usługi (DoS). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.