CVE-2026-75439

W free5GC w wersji 4.2.3 i wcześniejszych funkcje HandleCreateEeSubscriptions oraz HandleQueryeesubscriptions w pliku internal/sbi/api_datarepository.go walidują wartość ścieżki ueId wyrażeniem regularnym, którego końcowa alternatywa .+ akceptuje dowolny niepusty ciąg znaków zamiast ograniczać identyfikatory do obsługiwanych formatów SUPI i GPSI. Podmiot mający dostęp sieciowy do interfejsu UDR SBI może przesłać nie-3GPP identyfikator do endpointu /nudr-dr/v2/subscription-data/{ueId}/context-data/ee-subscriptions, który przechodzi walidację i trafia do normalnego przepływu tworzenia lub zapytania. Nieprawidłowe identyfikatory mogą być utrwalane i odczytywane jako rekordy subskrypcji.

W wersjach przed 4.2.2, free5GC's SMF montuje grupę tras zarządzania UPI bez middleware OAuth2 dla przychodzących żądań. W wyniku tego, nieautoryzowane żądanie DELETE /upi/v1/upNodesLinks/gNB1 powoduje awarię handlera z powodu panicznego wskaźnika nil oraz modyfikuje w pamięci topologię użytkownika.

W wersjach przed 4.2.2 free5GC zawiera błąd typu w punkcie końcowym POST /oauth2/token, który może prowadzić do paniki serwera. Błąd ten wynika z niewłaściwego przetwarzania pól w żądaniu, co pozwala atakującemu na wywołanie paniki serwera poprzez odpowiednio skonstruowane żądanie.

W wersjach przed 4.2.2, handler PATCH w free5GC dla zarządzania PFD może spowodować panikę z powodu dereferencji wskaźnika nil, gdy wywołanie UDR nie powiedzie się, a wrapper konsumenta zwraca błąd różny od nil oraz nil *ProblemDetails. To prowadzi do zwrócenia błędu HTTP 500 zamiast kontrolowanej odpowiedzi błędu.

W wersjach przed 4.2.2, handler PCF POST /npcf-smpolicycontrol/v1/sm-policies w free5GC powoduje panikę z powodu dereferencji wskaźnika nil, gdy wywołanie konsumenta OpenAPI zwraca błąd 404. Zamiast zwrócić błąd, kontynuuje wykonywanie, co prowadzi do paniki i zwraca błąd HTTP 500.

free5GC w wersji 4.2.2 i wcześniejszych zawiera podatność w handlerze NRF RegisterNFInstance, który akceptuje profile NF bez wymuszania formatu UUID, wartości enum nfStatus, zakresów heartBeatTimer, obowiązkowych pól profilu ani ograniczeń adresów nfServices.ipEndPoints. Nieprawidłowe profile są zapisywane w MongoDB i zwracane przez NFDiscover, co pozwala atakującemu z dostępem SBI na reklamowanie kontrolowanych punktów końcowych i przekierowanie sygnalizacji. Problem naprawiono w wersji 4.2.3.

W projekcie Free5GC (do wersji 4.2.3) wykryto lukę w nieznanym kodzie pliku /corefuzzer_deps/free5gc/NFs/amf/internal/gmm/handler.go (komponent Gmm Handler). Manipulacja powoduje warunek wyścigu (race condition). Atak można zainicjować zdalnie, a poprawka została zidentyfikowana jako e323b01464355781b8b8d5dd695e05cbc00a62f2.

free5GC przed wersją 1.4.5 zawiera podatność w komponencie AUSF, gdzie porównania kryptograficzne (RES* i XRES*, AT_MAC i XMAC) są wykonywane przy użyciu zwykłych funkcji porównujących, a oczekiwana wartość XRES* jest logowana na poziomie INFO. Może to ujawnić materiał uwierzytelniający osobom mającym dostęp do logów AUSF.

Podatność w free5GC (implementacja 5G core network) w wersji 1.4.4 i wcześniejszych. Komponent AUSF przechowuje stan uwierzytelniania w globalnej mapie, co pozwala atakującemu z dostępem do interfejsu SBI/N12 na wysyłanie równoczesnych żądań uwierzytelniania dla tego samego SUPI, powodując nadpisanie kontekstu i odmowę uwierzytelnienia dla wybranego abonenta. Brak dostępnej poprawki.

Podatność w komponencie NssaiAvailabilitySubscriptionCreate systemu free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane żądanie POST.