Podatności FlexRIC

FlexRIC v2.0.0 pozwala na powiązanie wielu xapp_ids z jednym połączeniem SCTP poprzez wysłanie wielu żądań E42_SETUP_REQUEST. Po rozłączeniu czyszczone są tylko zasoby pierwszego zarejestrowanego xapp_id, a pozostałe pozostają jako nieaktualne wpisy. Zdalny atakujący może wykorzystać tę lukę do wycieku stanu subskrypcji w iApp, co może prowadzić do wyczerpania zasobów lub uszkodzenia stanu.

FlexRIC v2.0.0 ufa polu xapp_id z wiadomości E42 bez wiązania go z nadawcą SCTP. Zdalny, nieuwierzytelniony atakujący może podszyć się pod dowolny xApp, wysyłając żądania do iApp (port 36422), co powoduje błędne kierowanie odpowiedzi i może crashnąć ofiarę xApp, RIC lub iApp z powodu niespójności w strukturze drzewa czerwono-czarnego.

W FlexRIC v2.0.0 występuje podatność polegająca na pominięciu autoryzacji w mechanizmie izolacji xApp w iApp. Funkcja eq_xapp_ric_gen_id() w src/ric/iApp/xapp_ric_id.c porównuje m0->xapp_id z samym sobą (m0->xapp_id) zamiast z drugim argumentem (m1->xapp_id), co ignoruje wymiar tożsamości xApp. Złośliwy xApp podłączony do iApp (port 36422) może usunąć subskrypcje dowolnego innego xApp, wysyłając żądanie E42_RIC_SUBSCRIPTION_DELETE_REQUEST z pasującym ric_gen_id.

FlexRIC v2.0.0 używa 16-bitowego licznika do przypisywania xapp_id, ale przechowuje wartość w 32-bitowych polach wiadomości. Po 65 530+ żądaniach E42_SETUP_REQUEST 16-bitowy licznik zawija się, powodując duplikację xapp_id. Aplikacja iApp (port 36422) ulega awarii przy próbie rejestracji duplikatu. Zdalny atakujący może to wywołać przez wielokrotne łączenie i żądanie nowych rejestracji xApp.

FlexRIC v2.0.0 ulega awarii, gdy near-RT RIC otrzyma wiadomość RIC_INDICATION z nieistniejącym ran_func_id. W wersjach Debug następuje asercja (SIGABRT), w Release dereferencja wskaźnika NULL (SIGSEGV). Zdalny nieuwierzytelniony atakujący może wysłać spreparowaną wiadomość na port 36421.

FlexRIC v2.0.0 zawiera osiągalne asercje w funkcji e2ap_create_pdu(), które są wyzwalane przy nieudanym dekodowaniu ASN.1 PER. Zdalny, nieuwierzytelniony atakujący może wysłać dowolną sekwencję bajtów nie-PER przez SCTP, powodując awarię procesu przez SIGABRT.

FlexRIC v2.0.0 zawiera osiągalną asercję w funkcji e2ap_recv_sctp_msg(). Wysyłka pojedynczej wiadomości SCTP o długości >= 32768 bajtów powoduje awarię procesu near-RT RIC, iApp, E2 Agent lub xApp przez SIGABRT. W wersjach Release dochodzi do przepełnienia liczb całkowitych.

FlexRIC v2.0.0 ulega awarii, gdy iApp otrzyma E42_RIC_SUBSCRIPTION_REQUEST z nieistniejącym E2 Node. Funkcja wyszukiwania zwraca NULL, co w Debug powoduje asercję (SIGABRT), w Release dereferencję (SIGSEGV). Zdalny nieuwierzytelniony atakujący może wysłać żądanie na port 36422.

FlexRIC v2.0.0 zawiera osiągalne wywołania assert(0) w procedurach obsługi wiadomości dla dozwolonych, ale niezaimplementowanych typów wiadomości E2AP w near-RT RIC. Zdalny nieuwierzytelniony atakujący może wysłać dekodowalną jednostkę PDU E2AP takiego typu (np. E2nodeConfigurationUpdate), aby spowodować awarię procesu near-RT RIC (port 36421) przez SIGABRT.

FlexRIC v2.0.0 ulega awarii, gdy iApp otrzymuje żądanie E42_RIC_SUBSCRIPTION_REQUEST z pustym polem ricEventTriggerDefinition. Dekoder warstwy E42 akceptuje to jako prawidłowe, ale koder E2AP wymusza ograniczenie niepustości podczas przekazywania żądania. Zdalny, nieuwierzytelniony atakujący może spowodować awarię procesu iApp (port 36422) przez SIGABRT, wykorzystując tę niezgodność walidacji między warstwami.

FlexRIC v2.0.0 ulega awarii przy otrzymaniu duplikatu E2_SETUP_REQUEST od tego samego lub sfałszowanego węzła E2. Rejestr iApp wymusza unikalność ID węzła przez assert() zamiast łagodnego odrzucenia. Zdalny nieuwierzytelniony atakujący może spowodować awarię procesu iApp (port 36421) wysyłając dwa E2_SETUP_REQUEST z tą samą konfiguracją węzła E2, wyzwalając SIGABRT.

FlexRIC v2.0.0 zawiera osiągalne asercje w dyspozytorze wiadomości iApp. Dyspozytor sprawdza przychodzące wiadomości E2AP względem 9-elementowej białej listy za pomocą assert(). Zdalny, nieuwierzytelniony atakujący może wysłać dowolny dekodowalny PDU E2AP z typem wiadomości spoza białej listy, powodując awarię procesu iApp (port 36422) przez SIGABRT. Ponieważ iApp i near-RT RIC współdzielą jeden proces, kończy to działanie całej usługi RIC i rozłącza wszystkie węzły E2 oraz xApp.

FlexRIC v2.0.0 używa zakodowanych na stałe asercji do walidacji liczby elementów informacyjnych (IE) w zdekodowanych wiadomościach E2AP. Zdalny nieuwierzytelniony atakujący może wysłać poprawną PDU E2AP z nieoczekiwaną liczbą IE, powodując awarię near-RT RIC (port 36421) lub iApp (port 36422) przez SIGABRT.

FlexRIC v2.0.0 ulega awarii po otrzymaniu RIC_SUBSCRIPTION_RESPONSE z nieznanym ric_id, dla którego nie ma oczekującego zdarzenia. near-RT RIC używa assert() do wymuszenia istnienia oczekującego zdarzenia. Zdalny nieuwierzytelniony atakujący może wysłać sfałszowaną odpowiedź na port 36421, powodując SIGABRT (Debug) lub dereferencję NULL (SIGSEGV) w wersji Release.

FlexRIC v2.0.0 ulega awarii, gdy połączenie SCTP zostanie zamknięte przed wysłaniem E2_SETUP_REQUEST. near-RT RIC zakłada, że mapowanie między połączeniem SCTP a węzłem E2 zawsze istnieje i wymusza to przez assert(). Zdalny nieuwierzytelniony atakujący może spowodować awarię near-RT RIC (port 36421) poprzez wykonanie uzgadniania SCTP i natychmiastowe rozłączenie bez wysyłania żadnej wiadomości E2AP.