CVE-2024-40130

Buffer Overflow w Open5GS v2.6.4 — podatność krytyczna w bibliotece core

CVSS 9.8v3.1pub. 2024-07-16upd. 2024-11-21

Open5GS w wersji 2.6.4 zawiera krytyczną podatność typu buffer overflow zlokalizowaną w pliku /lib/core/abts.c. Ze względu na możliwość zdalnego wykorzystania bez uwierzytelnienia, podatność stwarza poważne ryzyko dla infrastruktury sieciowej 5G/LTE opartej na tym oprogramowaniu.

▸ Pokaż oryginał (EN)

open5gs v2.6.4 is vulnerable to Buffer Overflow. via /lib/core/abts.c.

🤖 Analiza AI

Jak działa

Podatność polega na przepełnieniu bufora (buffer overflow / out-of-bounds write, CWE-787, CWE-120) w module biblioteki core Open5GS — konkretnie w pliku abts.c. Atakujący może dostarczyć odpowiednio spreparowane dane wejściowe, które przekroczą granice zaalokowanego bufora w pamięci. Atak możliwy jest zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, co znacząco podnosi jego krytyczność.

Skutki

Skuteczne wykorzystanie podatności może umożliwić atakującemu zdalne wykonanie dowolnego kodu (RCE), przejęcie kontroli nad systemem oraz naruszenie poufności, integralności i dostępności całego węzła sieciowego 5G/LTE.

Mitygacja

Należy zastosować poprawkę dostępną w repozytorium projektu — commit 2f8ae91b0b9467f94f128090c88cae91bd73e008 dostępny na GitHub open5gs/open5gs. Zaleca się aktualizację do wersji zawierającej wskazany patch zgodnie z referencjami producenta.

Kogo dotyczy

Open5GS w wersji 2.6.4

Uwagi

Szczegóły podatności zostały zgłoszone w issue #2577 w repozytorium GitHub open5gs/open5gs. Poprawka została opublikowana jako commit 2f8ae91b0b9467f94f128090c88cae91bd73e008.