Qiang Fu

في وضع فصل التعبئة المسبقة/فك التشفير (prefill/decode disaggregation mode)، توجد ثغرة تزوير طلبات من جانب الخادم تسمح للمهاجمين غير المصرح لهم بإرسال طلبات خارجية. من خلال إرسال طلبات مصممة خصيصًا إلى نقطة النهاية '/generate' الخاصة بـ Decode worker، يمكن للمهاجمين استخدام حقلي `bootstrap host` و `bootstrap port` لفحص المضيفات والمنافذ الداخلية. يمكن أن يؤدي هذا الإجراء إلى حظر حلقة المجدول المشتركة، مما يتسبب في تأخير طلبات الاستنتاج الأخرى.

يوجد خلل في تجاوز الصلاحيات يسمح لحاملي مفتاح واجهة برمجة تطبيقات مستوى البيانات (data-plane API key) بالوصول إلى مسارات إدارة التوافر العالي (HA) للشبكة. يحدث هذا لأن نقاط النهاية `/ha/*` تتجاوز فحوصات دور المسؤول في مستوى التحكم (control-plane). يمكن للمهاجم قراءة طبولوجيا العنقود، وكتابة التكوينات المنتشرة، وتغيير حدود المعدل العالمية، واستدعاء نقطة النهاية `POST /ha/shutdown` لفك تنسيق التوافر العالي بصمت.

توجد مشكلة في حجب الخدمة تتيح لعملاء واجهة برمجة التطبيقات (API) إلغاء طلبات التوليد الجارية والمملوكة لمستخدمين آخرين. يحدث هذا عندما يقوم المهاجم بإرسال طلبات تدفق (streaming) إلى نقطة النهاية '/generate' باستخدام `rid` (معرف الطلب) قصير يتحكم فيه العميل. من خلال استخدام قيم `rid` مكونة من حرف سداسي عشري واحد ثم قطع الاتصال، يقوم المهاجم بتفعيل منطق الإلغاء القائم على مطابقة البادئة، مما يؤدي إلى إنهاء جميع طلبات العملاء النشطين الآخرين.

توجد ثغرة حقن تعليمات برمجية في الدالة ` evaluate filter()`. يمكن للمهاجمين عن بُعد تنفيذ تعليمات Python البرمجية من خلال الهروب من صندوق حماية `eval()` باستخدام `re.search globals `. يحدث هذا عن طريق إرسال تعبير تصفية مصمم خصيصاً إلى نقطة النهاية غير المصرح بها '/dumper/configure' عندما يتم تعيين المتغير `DUMPER SERVER PORT` ، مما يؤدي إلى تشغيل التعليمات البرمجية في عملية المجدول أثناء التمرير الأمامي التالي.

يمكن لمهاجم غير مصرح له التسبب في حالة رفض الخدمة عن طريق إرسال طلب إلى نقطة النهاية '/generate' يحتوي على الحقل `pd kv trans params`. يؤدي ذلك إلى فشل في دالة `pickle.loads` داخل `InferSamplingParams` مما يتسبب في تعطل خيط الاستنتاج. وبينما تظل نقطة النهاية '/health' تعمل، فإن جميع الطلبات اللاحقة ستتوقف عن الاستجابة حتى يتم إعادة تشغيل النظام.

توجد مشكلة تتمثل في أن البرنامج يثق في حقل `xapp id` الوارد في حمولات رسائل E42 دون ربطه بارتباط SCTP الخاص بالمرسل. ولا تقوم وظيفة التحقق `valid xapp id()` إلا بالتحقق من أن القيمة تقع ضمن النطاق المخصص. يمكن لمهاجم بعيد غير مصدق أن ينتحل صفة أي xApp عن طريق تحديد `xapp id` مستهدف في الطلبات المرسلة إلى نقطة نهاية iApp على المنفذ 36422. يؤدي هذا إلى توجيه الردود بشكل خاطئ إلى تطبيق xApp الضحية، مما قد يتسبب في تعطل تطبيق xApp الضحية أو RIC أو iApp بسبب عدم اتساق الحالة في بنية بيانات شجرة الأحمر والأسود، وهي شجرة بحث ثنائية ذاتية التوازن تُستخدم لتخزين البيانات واسترجاعها بكفاءة.

يتم تشغيل تأكيد قابل للوصول في الدالة `e2ap create pdu()` عند فشل فك تشفير ASN.1 PER (قواعد الترميز المضغوط، وهو تنسيق ترميز ثنائي لبيانات ASN.1). يمكن لمهاجم بعيد غير مصدق عليه إرسال تسلسل بايتات غير متوافق مع PER عبر SCTP إلى RIC شبه الوقت الحقيقي (near-RT RIC) على المنفذ 36421 أو إلى iApp على المنفذ 36422، مما يتسبب في تعطل العملية عبر SIGABRT. يحدث هذا قبل إجراء أي تحقق من صحة على مستوى البروتوكول ويؤثر على إصدارات بروتوكول E2AP v1.01 و v2.03 و v3.01.

توجد مشكلة تتمثل في استخدام عداد من نوع `uint16 t` لتعيين `xapp id`، مع تخزينه في حقول الرسائل من نوع `uint32 t`. بعد أكثر من 65,530 طلب E42 SETUP REQUEST، يلتف العداد ذو 16 بت، مما يؤدي إلى تكرار `xapp ids`. وهذا يتسبب في تعطل iApp (المنفذ 36422) عند محاولته تسجيل معرّف مكرر ضمن بنية البيانات الداخلية الخاصة به. يمكن لمهاجم عن بُعد إحداث هذا التعطل من خلال الاتصال المتكرر وطلب تسجيلات xApp جديدة.

يحتوي موزع رسائل iApp على تأكيد قابل للوصول. يستخدم الموزع الدالة `assert()` للتحقق من صحة رسائل E2AP الواردة مقارنةً بقائمة بيضاء مكونة من 9 عناصر. يمكن لمهاجم بعيد غير مصدق إرساله رسالة E2AP PDU قابلة للفك تشفير بنوع رسالة غير موجود في القائمة البيضاء، مما يؤدي إلى تشغيل إشارة SIGABRT (إشارة تُرسل إلى عملية لإجبارها على الإيقاف) وتعطل عملية iApp على المنفذ 36422. ونظرًا لأن iApp وRIC شبه الوقت الحقيقي يشتركان في عملية واحدة، فإن هذا الإجراء يؤدي إلى إنهاء خدمة RIC بالكامل، مما يؤدي إلى قطع اتصال جميع تطبيقات xApps وعقد E2.

تتعطل عملية iApp على المنفذ 36421 عند تلقي طلب E2 SETUP REQUEST مكرر من نفس عقدة E2 أو من عقدة مزيفة. يحدث هذا لأن سجل iApp يستخدم دالة `assert()` لفرض تفرد معرف العقدة بدلاً من تنفيذ رفض خاضع للرقابة. يمكن لمهاجم بعيد غير مصدق أن يطلق إشارة SIGABRT (إشارة تُرسل إلى عملية لإجبارها على التوقف) عن طريق إرسال طلبين E2 SETUP REQUEST بتكوينات عقدة E2 متطابقة.

يؤدي عدم تطابق عملية التحقق بين الطبقات إلى تمكين مهاجم بعيد غير مصدق من إحداث تعطل لعملية iApp على المنفذ 36422 عبر SIGABRT. تحدث المشكلة عندما يتلقى iApp طلب «E42 RIC SUBSCRIPTION REQUEST» يحتوي على حقل `ricEventTriggerDefinition` فارغ؛ ففي حين أن وحدة فك التشفير في طبقة E42 تقبل الحقل الفارغ على أنه صالح، فإن وحدة التشفير في طبقة E2AP تفرض قيدًا بعدم ترك الحقل فارغًا عند إعادة توجيه الطلب، مما يؤدي إلى تعطل العملية.

يحتوي RIC شبه الوقت الحقيقي (near-RT RIC) على استدعاءات `assert(0)` قابلة للوصول ضمن معالجات الرسائل الوهمية (stub) لأنواع رسائل E2AP المدرجة في القائمة البيضاء ولكن لم يتم تنفيذها بعد. يمكن لمهاجم بعيد غير مصدق أن يتسبب في تعطل عملية RIC شبه الوقت الحقيقي على المنفذ 36421 عبر SIGABRT عن طريق إرسال وحدة بيانات E2AP قابلة للفك من نوع غير مُنفَّذ، مثل `E2nodeConfigurationUpdate`. تمر الرسالة بنجاح عبر التحقق من القائمة البيضاء ولكنها تُشغِّل تأكيدًا غير مشروط في المعالج.

تم اكتشاف ثغرة أمنية في الدالة `amf nsmf pdusession handle update sm context` الموجودة في الملف src/amf/nsmf-handler.c التابع لمكون AMF. تؤدي استغلال هذه الثغرة إلى رفض الخدمة. يمكن شن الهجوم عن بُعد. تسمح هذه المشكلة لجهاز مستخدم واحد (UE) بإسقاط AMF، مما يؤدي إلى فقدان كامل لخدمات إدارة التنقل والجلسات ويسبب انقطاعًا في الشبكة بأكملها. ستفقد جميع أجهزة المستخدمين المسجلة الاتصال وسيتم حظر التسجيلات الجديدة حتى يتم إعادة تشغيل AMF، مما يؤثر على التوافر العالي.

تم تحديد ثغرة أمنية من نوع «رفض الخدمة» في الدالة `gmm state authentication` الموجودة في الملف `src/amf/gmm-sm.c` في مكون AMF. يمكن استغلال هذه الثغرة أمنية عن بُعد، مما يؤدي إلى انقطاع في الشبكة بأكملها، ويسبب فقدان الاتصال لجميع أجهزة المستخدمين (UEs) المسجلة، ويحظر عمليات التسجيل الجديدة حتى يتم إعادة تشغيل AMF. وقد تم الكشف عن طريقة الاستغلال هذه علنًا ويمكن استخدامها.