Wprowadzenie do problemu / definicja
Badacze bezpieczeństwa ujawnili 84 wcześniej nieznane podatności wpływające na implementacje rdzeni sieci 4G i 5G. Problem dotyczy przede wszystkim komponentów odpowiadających za komunikację sygnalizacyjną i zarządzanie sesjami, gdzie przez lata zakładano wysoki poziom zaufania między wewnętrznymi funkcjami sieci operatora.
W praktyce oznacza to, że nowoczesne środowiska telekomunikacyjne, zwłaszcza wdrażane w modelu cloud-native, mogą być bardziej narażone na nadużycia wynikające z niewystarczającej walidacji komunikatów sterujących. Ujawnione luki pokazują, że zaufanie wewnątrz core network nie może już być traktowane jako domyślny mechanizm bezpieczeństwa.
W skrócie
Zidentyfikowane podatności dotyczą m.in. projektów Open5GS, OpenAirInterface, free5GC, SD-Core oraz eUPF. Spośród 84 wykrytych problemów 83 zostały potwierdzone, a 81 otrzymało identyfikatory CVE.
- możliwe są ataki typu denial-of-service,
- zagrożone jest stabilne działanie funkcji rdzenia 4G i 5G,
- w części scenariuszy możliwe staje się przejęcie sesji użytkownika,
- część błędów zaobserwowano także poza środowiskami testowymi.
To sprawia, że problem ma znaczenie nie tylko dla społeczności badawczej i projektów open source, ale również dla operatorów oraz integratorów infrastruktury mobilnej.
Kontekst / historia
Architektura rdzenia sieci komórkowych historycznie opierała się na izolacji logicznej i fizycznej. Interfejsy pomiędzy funkcjami takimi jak SMF, UPF czy elementy control plane LTE miały pozostawać niedostępne dla podmiotów nieuprawnionych, dlatego wiele implementacji skupiało się bardziej na wydajności i zgodności z protokołami niż na rygorystycznej walidacji każdego komunikatu.
Sytuacja zmieniła się wraz z popularyzacją architektur zwirtualizowanych, kontenerowych i rozproszonych. W modelu cloud-native granice bezpieczeństwa są bardziej płynne, a pojedynczy błąd konfiguracji, niezamierzona ekspozycja usługi lub niewłaściwa segmentacja może umożliwić dostęp do interfejsów, które wcześniej uznawano za wewnętrzne i zaufane.
Badanie skupiło się na protokołach GTP-C oraz PFCP, które odgrywają kluczową rolę w sterowaniu sesjami i regułami przetwarzania ruchu. To właśnie tam wykryto powtarzalne błędy wynikające z bezwarunkowego ufania komunikatom pochodzącym od innych komponentów rdzenia.
Analiza techniczna
Centralnym motywem ujawnionych błędów są tzw. implicit trust errors, czyli luki powstające wtedy, gdy komponent zakłada, że komunikat od innego elementu sieci jest poprawny i bezpieczny. W analizowanych implementacjach dotyczyło to m.in. walidacji formatu wiadomości, spójności pól, obsługi stanów sesji, kontroli zasobów oraz unikalności identyfikatorów.
Jeśli atakujący zyska możliwość dostarczania spreparowanych komunikatów PFCP lub GTP-C do właściwego komponentu, może doprowadzić do nieprzewidzianego zachowania systemu. Jednym z efektów może być awaria procesu odpowiedzialnego za przetwarzanie sygnalizacji, a więc odmowa usługi. Poważniejszy scenariusz obejmuje przejęcie sesji poprzez manipulację regułami w UPF.
Opisany przez badaczy wariant session hijacking bazuje na błędnej obsłudze identyfikatorów PDR w komunikatach PFCP Session Modification Request. Napastnik może wprowadzić własną regułę z odpowiednio ustawionym priorytetem, przez co ruch uplink ofiary zostanie dopasowany do reguły złośliwej wcześniej niż do prawidłowej. W rezultacie pakiety użytkownika mogą zostać przekierowane do tunelu kontrolowanego przez atakującego.
Skuteczność takiego ataku zwykle zależy od spełnienia dodatkowych warunków. Przeciwnik musi znać lub odkryć adresację elementów core, uzyskać dostęp do wewnętrznych interfejsów albo wykorzystać słabości segmentacji sieciowej. W niektórych przypadkach ryzyko rośnie również wtedy, gdy środowisko nie rozdziela dostatecznie płaszczyzny sterowania i przesyłu danych.
Na uwagę zasługuje także metodologia badawcza. Zespół wykorzystał podejście wieloagentowe wspierane przez modele językowe do klasyfikacji wzorców błędów, wyszukiwania kandydatów na nowe luki oraz przygotowywania exploitów PoC. Następnie wyniki były weryfikowane przez analizę implementacji i porównanie zachowania systemów z wymaganiami protokołów.
Konsekwencje / ryzyko
Znaczenie ujawnionych luk wykracza poza pojedyncze błędy programistyczne. Mowa o całej klasie podatności, które mogą pojawiać się w różnych stosach 4G i 5G oraz wynikać z podobnych założeń architektonicznych. To zwiększa ryzyko powtarzalności problemu także w innych wdrożeniach.
Dla operatorów telekomunikacyjnych skutki mogą być bardzo poważne. Ataki DoS są w stanie zakłócić ciągłość działania usług mobilnych, wpływając na dostępność sieci i jakość obsługi abonentów. Z kolei przejęcie sesji niesie ryzyko naruszenia poufności oraz integralności ruchu użytkownika.
Istotny jest również fakt, że część słabości została odziedziczona z wcześniejszych architektur 4G i utrzymała się w środowiskach 5G. Pokazuje to, że sama modernizacja technologiczna nie eliminuje błędów projektowych, jeśli nie towarzyszy jej zmiana modelu zaufania i dokładniejsza kontrola komunikacji wewnętrznej.
Szczególnie alarmujące jest to, że przynajmniej część opisanych problemów miała zostać potwierdzona również poza środowiskami czysto laboratoryjnymi. To sugeruje, że ryzyko może dotyczyć także rzeczywistych wdrożeń operatorskich.
Rekomendacje
Operatorzy, integratorzy i dostawcy powinni rozpocząć od ustalenia, które implementacje rdzenia 4G i 5G działają w ich środowiskach oraz czy dostępne są poprawki bezpieczeństwa i powiązane identyfikatory CVE. Samo łatanie nie wystarczy jednak bez szerszego przeglądu architektury zaufania między funkcjami sieciowymi.
- wprowadzenie ścisłej segmentacji interfejsów control plane i user plane,
- ograniczenie ekspozycji oraz routowalności adresów IP komponentów rdzenia,
- wdrożenie kontroli dostępu dla PFCP, GTP-C i innych interfejsów wewnętrznych,
- rozszerzenie walidacji komunikatów protokołowych na poziomie aplikacji i warstw pośrednich,
- monitorowanie anomalii związanych z PFCP Session Modification i GTPv2-C,
- testy bezpieczeństwa środowisk cloud-native pod kątem naruszeń granic sieciowych,
- przegląd logiki obsługi identyfikatorów, priorytetów i stanów sesji.
Dla zespołów SOC i blue team ważne będzie rozwinięcie mechanizmów detekcji o nietypowe sekwencje sygnalizacyjne, duplikaty identyfikatorów reguł oraz nieautoryzowane żądania modyfikacji sesji. W prywatnych sieciach 5G i środowiskach testowych warto przyjąć zasadę, że komponent wewnętrzny nie powinien być domyślnie uznawany za zaufany.
Podsumowanie
Ujawnienie 84 luk w rdzeniach 4G i 5G to wyraźny sygnał ostrzegawczy dla całego sektora telekomunikacyjnego. Problem nie ogranicza się do pojedynczych produktów, lecz wskazuje na głębszą słabość związaną z historycznym założeniem o zaufaniu między funkcjami core network.
Wraz z rozwojem architektur chmurowych i rozproszonych bezpieczeństwo rdzenia sieci mobilnej musi być projektowane tak, jakby przeciwnik mógł znaleźć się zarówno na granicy infrastruktury, jak i wewnątrz niej. Organizacje, które nadal opierają ochronę głównie na izolacji i domyślnym zaufaniu, powinny potraktować te ustalenia jako impuls do pilnego przeglądu zabezpieczeń.