CVE-2026-33907

Ella Core, rdzeń 5G przeznaczony dla sieci prywatnych, przed wersją 1.10.0 nie weryfikuje zdolności bezpieczeństwa UE (UE Security Capabilities) otrzymanych w komunikatach NGAP PathSwitchRequest względem lokalnie przechowywanych wartości. Złośliwy gNB może nadpisać przechowywane zdolności bezpieczeństwa UE dowolnymi wartościami, wysyłając pojedynczy spreparowany PathSwitchRequest. Podatność naprawiono w wersji 1.10.0.

Ella Core to sieć rdzeniowa 5G przeznaczona dla sieci prywatnych. W wersjach przed 1.10.0 Ella Core nie egzekwowała zasad bezpieczeństwa dotyczących równoczesnego uruchamiania procedur bezpieczeństwa zdefiniowanych w TS 33.501 §6.9.5.1 — mogła wysłać NAS Security Mode Command, gdy trwało jeszcze przekazanie N2 (i odwrotnie). Równoczesne wystąpienie Security Mode Command i przekazania N2 powoduje niezgodność KgNB między UE a docelowym gNB, co prowadzi do niepowodzenia przekazania. Wymaga to zatrzymanego gNB i wyścigu rejestracji. Podatność została naprawiona w wersji 1.10.0.

Ella Core, zaprojektowane dla prywatnych sieci 5G, przed wersją 1.10.0, pozwalało na wysyłanie sfałszowanych odpowiedzi PDUSessionResourceSetupResponse przez radio z ważnym NG Setup. System nie weryfikował, czy wiadomość dotarła przez odpowiednie połączenie NG, co prowadziło do utworzenia tunelu GTP w kierunku tego radia.

W systemie Ella Core przed wersją 1.8.0 w API PUT /api/v1/subscriber/{imsi} nie jest weryfikowane, czy IMSI z ścieżki URL zgadza się z IMSI z ciała żądania JSON. Uwierzytelniony NetworkManager może zmodyfikować politykę dowolnego abonenta, a dziennik audytu będzie zawierał fałszywy IMSI. Podatność została naprawiona w wersji 1.8.0.

Ella Core, 5G core dla sieci prywatnych, przed wersją 1.8.0 ulega awarii (panic) podczas przetwarzania komunikatu NGAP handover failure. Atakujący może wysłać takie komunikaty przez gNodeB, powodując przerwanie działania usługi dla wszystkich podłączonych abonentów.

Ella Core przed wersją 1.7.0 zawiera zakleszczenie w obsłudze powiadomień SCTP w AMF, które zawiesza całą płaszczyznę sterowania AMF do momentu restartu procesu. Atakujący z dostępem do interfejsu N2 może zawiesić Ella Core, powodując odmowę usługi dla wszystkich abonentów.

Ella Core, rdzeń 5G dla sieci prywatnych, w wersjach przed 1.7.0 ulega panice podczas przetwarzania specjalnie spreparowanej wiadomości NGAP LocationReport. Atakujący mogący wysłać takie wiadomości może doprowadzić do awarii procesu.