Podatności free5gc

W free5GC w wersji 4.2.3 i wcześniejszych funkcje HandleCreateEeSubscriptions oraz HandleQueryeesubscriptions w pliku internal/sbi/api_datarepository.go walidują wartość ścieżki ueId wyrażeniem regularnym, którego końcowa alternatywa .+ akceptuje dowolny niepusty ciąg znaków zamiast ograniczać identyfikatory do obsługiwanych formatów SUPI i GPSI. Podmiot mający dostęp sieciowy do interfejsu UDR SBI może przesłać nie-3GPP identyfikator do endpointu /nudr-dr/v2/subscription-data/{ueId}/context-data/ee-subscriptions, który przechodzi walidację i trafia do normalnego przepływu tworzenia lub zapytania. Nieprawidłowe identyfikatory mogą być utrwalane i odczytywane jako rekordy subskrypcji.

W wersjach przed 4.2.2, free5GC's SMF montuje grupę tras zarządzania UPI bez middleware OAuth2 dla przychodzących żądań. W wyniku tego, nieautoryzowane żądanie DELETE /upi/v1/upNodesLinks/gNB1 powoduje awarię handlera z powodu panicznego wskaźnika nil oraz modyfikuje w pamięci topologię użytkownika.

W wersjach przed 4.2.2 free5GC zawiera błąd typu w punkcie końcowym POST /oauth2/token, który może prowadzić do paniki serwera. Błąd ten wynika z niewłaściwego przetwarzania pól w żądaniu, co pozwala atakującemu na wywołanie paniki serwera poprzez odpowiednio skonstruowane żądanie.

W wersjach przed 4.2.2, handler PATCH w free5GC dla zarządzania PFD może spowodować panikę z powodu dereferencji wskaźnika nil, gdy wywołanie UDR nie powiedzie się, a wrapper konsumenta zwraca błąd różny od nil oraz nil *ProblemDetails. To prowadzi do zwrócenia błędu HTTP 500 zamiast kontrolowanej odpowiedzi błędu.

W wersjach przed 4.2.2, handler PCF POST /npcf-smpolicycontrol/v1/sm-policies w free5GC powoduje panikę z powodu dereferencji wskaźnika nil, gdy wywołanie konsumenta OpenAPI zwraca błąd 404. Zamiast zwrócić błąd, kontynuuje wykonywanie, co prowadzi do paniki i zwraca błąd HTTP 500.

free5GC w wersji 4.2.2 i wcześniejszych zawiera podatność w handlerze NRF RegisterNFInstance, który akceptuje profile NF bez wymuszania formatu UUID, wartości enum nfStatus, zakresów heartBeatTimer, obowiązkowych pól profilu ani ograniczeń adresów nfServices.ipEndPoints. Nieprawidłowe profile są zapisywane w MongoDB i zwracane przez NFDiscover, co pozwala atakującemu z dostępem SBI na reklamowanie kontrolowanych punktów końcowych i przekierowanie sygnalizacji. Problem naprawiono w wersji 4.2.3.

W projekcie Free5GC (do wersji 4.2.3) wykryto lukę w nieznanym kodzie pliku /corefuzzer_deps/free5gc/NFs/amf/internal/gmm/handler.go (komponent Gmm Handler). Manipulacja powoduje warunek wyścigu (race condition). Atak można zainicjować zdalnie, a poprawka została zidentyfikowana jako e323b01464355781b8b8d5dd695e05cbc00a62f2.

Problem w Free5GC v.4.2.2 umożliwia zdalnemu atakującemu spowodowanie odmowy usługi (DoS) poprzez komponent UPF.

free5GC przed wersją 1.4.5 zawiera podatność w komponencie AUSF, gdzie porównania kryptograficzne (RES* i XRES*, AT_MAC i XMAC) są wykonywane przy użyciu zwykłych funkcji porównujących, a oczekiwana wartość XRES* jest logowana na poziomie INFO. Może to ujawnić materiał uwierzytelniający osobom mającym dostęp do logów AUSF.

Podatność w free5GC (implementacja 5G core network) w wersji 1.4.4 i wcześniejszych. Komponent AUSF przechowuje stan uwierzytelniania w globalnej mapie, co pozwala atakującemu z dostępem do interfejsu SBI/N12 na wysyłanie równoczesnych żądań uwierzytelniania dla tego samego SUPI, powodując nadpisanie kontekstu i odmowę uwierzytelnienia dla wybranego abonenta. Brak dostępnej poprawki.

Podatność w komponencie NssaiAvailabilitySubscriptionCreate systemu free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane żądanie POST.

Błąd polegający na dereferencji wskaźnika NULL w ścieżce przetwarzania CDR w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego ładunku.

Problem w funkcji RechargePut w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Problem w funkcji HandleGetSharedData w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Błąd dereferencji wskaźnika NULL w komponencie obsługi rejestracji UDMC w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego ładunku.

Niewłaściwa walidacja danych wejściowych w funkcji HandleUpdate (plik /sbi/parameter_provision.go) w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Problem w funkcji complexQueryFilterSubprocess w usłudze NRF Discovery w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Niewłaściwa walidacja danych wejściowych w funkcji buildFilter (plik processor/processor.go) w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

Problem w punkcie końcowym NF Discovery w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowane zapytanie snssais.

Problem w obsłudze NGAP w free5gc v4.0.1 umożliwia atakującemu wywołanie odmowy usługi (DoS) poprzez spreparowany pakiet NAS PDU.

W free5gc v4.0.1 występuje problem umożliwiający atakującym wywołanie odmowy usługi (DoS) podczas parsowania spreparowanych danych SUCI w trakcie rejestracji UE.

W komponencie dekodera NAS w free5gc v4.0.1 występuje problem umożliwiający atakującym wywołanie odmowy usługi (DoS) poprzez spreparowaną wiadomość Registration Request.

Niewłaściwa walidacja danych wejściowych w handlerze HTTPModifySubscription w free5gc v4.0.1 umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez spreparowane dane wejściowe.

W komponencie handlera CreateUEContext w free5gc v4.1.0 występuje problem umożliwiający atakującym wywołanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego żądania.

W komponencie AMF NGAP Dispatcher w free5gc v4.0.1 występuje błąd polegający na wyłuskaniu pustego wskaźnika (NULL pointer dereference), co umożliwia atakującym wywołanie odmowy usługi (DoS) poprzez spreparowane wiadomości NGAP podczas inicjalizacji nowego połączenia RAN.

W funkcji CreateUEContextProcedure (/v1/ue-contexts/{supi}) w free5gc v4.1.0 występuje problem umożliwiający atakującym wywołanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego żądania PUT.

W funkcji ModifyAMFEventSubscriptionProcedure (processor/event_exposure.go) w free5gc v4.1.0 występuje problem umożliwiający atakującym wywołanie odmowy usługi (DoS) poprzez dostarczenie spreparowanego żądania PATCH.

W free5GC przed wersją 1.4.5, AUSF nie waliduje pola supiOrSuci w żądaniach uwierzytelniania UE. Bajty null i inne znaki kontrolne przechodzą przez parsowanie JSON i są przekazywane do UDM w nieuciekającej ścieżce URL, co powoduje błąd Go net/url.Parse() i zwraca HTTP 500 z wyciekiem stosu. Nieuwierzytelniony atakujący może wywołać odmowę usługi dla wszystkich abonentów próbujących uwierzytelnienia przez dotknięty AUSF.

W Free5GC 4.2.0 w komponencie aper występuje podatność typu type confusion, która może być zdalnie wykorzystana, choć jest to trudne ze względu na wysoką złożoność.