CVE-2026-107166

Open5GS do wersji 2.8.0 zawiera podatność odczytu poza granicami sterty w funkcji ogs_pfcp_parse_dropped_dl_traffic_threshold(), umożliwiającą zdalnym nieuwierzytelnionym atakującym odczyt poza buforami IE poprzez krótkie IE. Atakujący mogą wysyłać żądania PFCP Session Establishment lub Modification do UPF na porcie UDP 8805 z ustawionymi flagami DLPA i DLBY, potencjalnie powodując awarię UPF.

Open5GS do wersji 2.8.0 zawiera podatność na odczyt poza zakresem pamięci (heap out-of-bounds read) w funkcji ogs_pfcp_parse_volume_measurement() w lib/pfcp/types.c. Zdalny, nieuwierzytelniony atakujący może wysłać żądanie PFCP Session Report Request do SMF na porcie UDP 8805 z krótkim, zawierającym wszystkie flagi Volume Measurement IE, co pozwala na odczyt do 48 bajtów i potencjalnie może spowodować awarię SMF.

W Open5GS do wersji 2.8.0 wykryto lukę w funkcji smf_n4_handle_session_report_request w pliku src/smf/n4-handler.c, w komponencie obsługi żądań raportu sesji PFCP. Manipulacja prowadzi do osiągalnego asercji, a atak może być zainicjowany zdalnie.

Open5GS do wersji 2.8.0 zawiera podatność osiągalnej asercji w funkcji mme_gn_handle_sgsn_context_request(), umożliwiającą zdalnym nieuwierzytelnionym atakującym zawieszenie MME poprzez zniekształcone elementy SGSN Address IE. Atakujący wysyłający ruch GTPv1-C z skonfigurowanego adresu SGSN ze znanym IMSI lub P-TMSI UE mogą podać nieprawidłową długość adresu, aby zakończyć działanie open5gs-mmed, odmawiając usługi wszystkim abonentom.

W Open5GS do wersji 2.8.0 wykryto podatność w funkcji ogs_pfcp_parse_volume_measurement w bibliotece lib/pfcp/types.c, w komponencie PFCP Handler. Manipulacja danymi prowadzi do dereferencji wskaźnika null. Atak można przeprowadzić zdalnie, a poprawka została zidentyfikowana jako 8f07b507b78ff94776f2cd49276eb116ed93d7f2.

W Open5GS do wersji 2.7.7 wykryto lukę w pliku lib/pfcp/handler.c w komponencie PFCP Message Handler. Manipulacja prowadzi do odmowy usługi (denial of service). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Poprawka jest dostępna jako patch o nazwie 028e1dbb5e3271035ccee906ef417a97fc523f71.

W Open5GS do wersji 2.7.x wykryto lukę w funkcji amf_nnrf_try_old_amf_discovery_fallback w pliku src/amf/nnrf-handler.c komponentu Old AMF Discovery Fallback. Manipulacja argumentem discovery_option prowadzi do użycia zwolnionej pamięci (use after free), a atak można przeprowadzić zdalnie. Poprawka została zidentyfikowana jako ddd683a35f8aaac2b7b9884a24cd53bddfc65238.

Podatność znaleziona w Open5GS 2.7.7/2.8.0 dotyczy nieznanego kodu komponentu AMF/MME. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być wykorzystany. Identyfikator poprawki to 9468de94caed2fc940f4a23cbf734651896d0fde. Aby naprawić ten problem, zaleca się wdrożenie poprawki.

Podatność przepełnienia bufora w Open5GS v2.7.7 umożliwia zdalnemu atakującemu spowodowanie odmowy usługi (DoS) poprzez funkcję ogs_sbi_time_parse().

Wykryto słabość w Open5GS do wersji 2.7.7. Dotyczy ona funkcji smf_nudm_sdm_handle_get w pliku src/smf/nudm-handler.c w komponencie SMF. Wykonanie manipulacji argumentem preemptCap może prowadzić do osiągalnego asercji. Atak może być uruchomiony zdalnie. Aktualizacja do wersji 2.8.0 jest wystarczająca do naprawy. Poprawka nazywa się 4554405f29bffd7562abedbee63484825bd90cd5.