Академично изследване разкри „широко разпространен клас“ от уязвимости в сигурността, засягащи 4G и 5G основни мрежи (core networks). При успешно експлоатиране те биха могли да предизвикат атаки за отказ на услуга (DoS) и дори отвличане на сесия, позволявайки на атакуващия да поеме контрол над мрежовата сесия на потребителя.

Констатациите са публикувани от група изследователи от Технологичния университет Нанянг в Сингапур в доклад, озаглавен „Разбиране на грешките на подразбиращо се доверие в основните мрежи на операторите чрез откриване и анализ на дефекти с множество агенти“.

Проучването разкрива десетки уязвимости в сигналните интерфейси на LTE/5G основни мрежи и по-специално обхваща две LTE реализации (Open5GS и OpenAirInterface) и пет 5G реализации (Open5GS, free5GC, OpenAirInterface, SD-Core и eUPF) в два основни сигнални протокола – GTP-C и PFCP.

„Нашето изследване установи, че тези уязвимости споделят една и съща повтаряща се основна причина: подразбиращото се доверие между функциите на основната мрежа. Те присъстват в широко използвани LTE/5G ядра с отворен код, които поддържат както изследователски тестови среди, така и търговски внедрявания“, споделят изследователите.

Въпреки че в миналото клетъчните основни мрежи (CN) са включвали физическа изолация, за да се гарантира, че интерфейсите между мрежовите функции работят в зона на доверие, преходът към облачно-ориентирани (cloud-native) внедрявания направи модела на доверие „крехък“ и разшири повърхността за атака, позволявайки на противниците потенциално да достигнат до предишни вътрешни интерфейси.

Изследователите споделят, че са открили модел на сляпо доверие между компонентите на основната мрежа. Когато станат достъпни по интернет, тези интерфейси, съчетани със слабостите в тях, могат да бъдат експлоатирани от външен атакуващ за извършване на злонамерени дейности, включително DoS и отвличане на сесии. Тези грешки са наречени с кодовото име „грешки на подразбиращо се доверие“ (iTrue).

За по-добро откриване на такива iTrue грешки и разбиране на техните последици, проучването включва разработването на подпомагана от големи езикови модели (LLM) мултиагентна система, наречена iFinder. Тя изпълнява поредица от задачи: обобщава известни дефекти, категоризира ги в шаблони за откриване и ги използва като основа за откриване на нови iTrue грешки в CN реализациите.

Някои от идентифицираните слабости са свързани с липса на надлежна проверка при валидирането на формата на съобщенията, тяхната семантика и наличността на ресурси, като компонентите на основната мрежа сляпо предприемат действия въз основа на съобщения, получени от вътрешни партньорски компоненти.

В следващата фаза халюцинациите и фалшивите тревоги се отсяват с помощта на „нова техника за взаимна проверка на спецификацията на кода“, след което се използва подход, управляван от LLM, за генериране на концептуални (PoC) експлойти за потенциални iTrue грешки. Те се подобряват итеративно чрез изпълнението им срещу реализациите на основната мрежа и последващ анализ на резултатите.

Елиминирането на фалшивите позитиви, според изследователите, включва съпоставяне на потенциалната iTrue грешка с протоколната процедура, която тя внедрява, и проверка дали необходимите проверки за валидиране и ресурси действително се прилагат в кодовата база.

Стартирането на агента срещу споменатите седем 4G и 5G реализации с отворен код разкри 84 неизвестни досега уязвимости, от които 83 вече са потвърдени, а на 81 са присвоени CVE идентификатори.

Някои от iTrue дефектите в 5G системите са наследени от техните 4G предшественици, което показва как рисковете за сигурността могат да прескачат поколения и как липсата на адаптация на наследствените системи към съвременните архитектури може да породи нови проблеми, които не са били отчитани досега.

Все пак, успешните атаки, базирани на DoS и отвличане на сесии чрез iTrue грешките, предполагат, че атакуващият може да получи IP адреса на компонентите на основната мрежа (например от публична документация, пасивно изброяване или активно сканиране), както и да има достъп до вътрешните интерфейси на основната мрежа. Така той може да изпраща произволни съобщения по протоколите PFCP и GTP-C в нарушение на модела на доверие, експлоатирайки неправилни конфигурации в облачното внедряване.

Този киберпрестъпник може да бъде отдалечен (т.е. разположен извън клетъчната основна мрежа) или да използва компрометирано потребителско оборудване (UE) за свързване към мобилна мрежа. Във втория случай това включва инжектиране на внимателно проектиран злонамерен код в изходящия поток от данни (uplink).

„Чрез експлоатиране на тунелирането на протоколи и преодоляване на мрежовите граници, атакуващият внася нелегитимни PFCP или GTP-C съобщения, скрити в GTP-U съобщения. При липса на строго прилагане на граничните контроли, те преминават границата, доставят се и се обработват от компонентите на основната мрежа“, обясняват изследователите.

В хипотетичен сценарий на DoS атака срещу Open5GS LTE, атакуващият може да изпрати GTPv2-C съобщения, за да задейства уязвимостта при обработка на съобщения за заявка за създаване на сесия (Create Session Request), причинявайки срив на управляващата равнина на обслужващия шлюз (SGW-C). Що се отнася до отвличането на сесии, външен за мрежата атакуващ може да извърши следната последователност от действия:

  • Атакуващият изпраща заявка за установяване на PFCP асоциация (PFCP Association Setup Request) към функцията за потребителската равнина (UPF).
  • Жертвата инициира свързване (attach)...