В ядрах 4G и 5G нашли 84 уязвимости из-за неявного доверия
Исследователи Наньянского технологического университета обнаружили 84 ранее неизвестные уязвимости в семи реализациях ядер LTE и 5G. Проверка охватила LTE-версии Open5GS и OpenAirInterface, 5G-версии Open5GS, free5GC, OpenAirInterface, SD-Core и eUPF, а также протоколы GTP-C и PFCP. Подтверждены 83 дефекта, 81 получил идентификатор CVE.
Почему доверие стало уязвимостью
Общую причину авторы назвали implicit trust errors, или iTrue: компоненты ядра полагаются на сообщения внутренних узлов и не всегда проверяют формат, смысл и доступность ресурсов. Физическая изоляция прежде поддерживала эту модель, но в облачных системах ошибки конфигурации могут открыть внутренние интерфейсы. Последствия — DoS и захват сессии.
Как работал iFinder
Для поиска iTrue команда создала LLM-систему iFinder с несколькими агентами. Она обобщает известные ошибки, формирует шаблоны и ищет похожие места в коде. Кандидаты сопоставляются с процедурой протокола и спецификацией: так проверяется, действительно ли в реализации нет нужной валидации или контроля ресурсов.
Условия и сценарии атак
Атакующему нужны IP-адрес компонента ядра, доступ к внутреннему интерфейсу и возможность отправлять произвольные PFCP- или GTP-C-сообщения. Нарушитель может быть удалённым или действовать через вредоносное UE, пронося сообщения внутри GTP-U при недостаточной защите сетевой границы.
В сценарии DoS против Open5GS LTE сообщение GTPv2-C Create Session Request вызывает сбой SGW-C. Для захвата сессии атакующий повторно использует ID правила PDR жертвы, задаёт более высокий приоритет и связывает его с вредоносным FAR. UPF принимает дубликат, выбирает правило первым и направляет исходящий трафик жертвы атакующему.
Исправление и вывод для бизнеса
Захват сессии нашли в двух коммерческих ядрах 5G. Dotouch исправила уязвимость в XproUPF — CVE-2026-8233 с оценкой 4,6 по CVSS; второй неназванный поставщик коммерческого ядра ещё устраняет дефект.
Для операторов и поставщиков практический приоритет — проверить доступность PFCP и GTP-C извне, блокировку их переноса через GTP-U, а также валидацию формата, семантики, ресурсов и уникальности PDR. Это соответствует условиям атак, показанным исследователями.