Zhongnan Luo

يمكن لمهاجم عن بُعد غير مصدَّق عليه التسبب في تعطل RIC شبه الوقت الحقيقي (near-RT RIC) على المنفذ 36421. تحدث المشكلة عندما يتم إغلاق ارتباط SCTP (بروتوكول نقل التحكم في التدفق) قبل إرسال طلب `E2 SETUP REQUEST`. يفترض النظام خطأً أن التعيين بين ارتباط SCTP وعقدة E2 موجود دائمًا أثناء مسار التنظيف ويفرض ذلك باستخدام دالة `assert()`، مما يؤدي إلى تعطل النظام في حالة عدم وجود التعيين. ويمكن أن يحدث ذلك عن طريق إتمام مصافحة SCTP وفصل الاتصال فورًا دون إرسال أي رسائل E2AP.

يتعطل البرنامج عند تلقيه استجابة RIC SUBSCRIPTION RESPONSE تحتوي على معرّف `ric id` غير معروف يفتقر إلى حدث معلق مطابق. يستخدم RIC شبه الوقت الحقيقي (near-RT RIC) الدالة `assert()` للتحقق من وجود حدث معلق أثناء معالجة الاستجابة. يمكن لمهاجم بعيد غير مصدق إرساله استجابة مزورة من نوع RIC SUBSCRIPTION RESPONSE إلى RIC شبه الوقت الحقيقي (near-RT RIC) على المنفذ 36421، مما يؤدي إلى حدوث SIGABRT (إنهاء غير طبيعي) في إصدارات Debug أو إزالة مرجعية مؤشر NULL (SIGSEGV)، والتي تحدث عندما يحاول البرنامج الوصول إلى موقع ذاكرة غير معين، في إصدارات Release.

يحتوي موزع رسائل iApp على تأكيد قابل للوصول. يستخدم الموزع الدالة `assert()` للتحقق من صحة رسائل E2AP الواردة مقارنةً بقائمة بيضاء مكونة من 9 عناصر. يمكن لمهاجم بعيد غير مصدق إرساله رسالة E2AP PDU قابلة للفك تشفير بنوع رسالة غير موجود في القائمة البيضاء، مما يؤدي إلى تشغيل إشارة SIGABRT (إشارة تُرسل إلى عملية لإجبارها على الإيقاف) وتعطل عملية iApp على المنفذ 36422. ونظرًا لأن iApp وRIC شبه الوقت الحقيقي يشتركان في عملية واحدة، فإن هذا الإجراء يؤدي إلى إنهاء خدمة RIC بالكامل، مما يؤدي إلى قطع اتصال جميع تطبيقات xApps وعقد E2.

تتعطل عملية iApp على المنفذ 36421 عند تلقي طلب E2 SETUP REQUEST مكرر من نفس عقدة E2 أو من عقدة مزيفة. يحدث هذا لأن سجل iApp يستخدم دالة `assert()` لفرض تفرد معرف العقدة بدلاً من تنفيذ رفض خاضع للرقابة. يمكن لمهاجم بعيد غير مصدق أن يطلق إشارة SIGABRT (إشارة تُرسل إلى عملية لإجبارها على التوقف) عن طريق إرسال طلبين E2 SETUP REQUEST بتكوينات عقدة E2 متطابقة.

يؤدي عدم تطابق عملية التحقق بين الطبقات إلى تمكين مهاجم بعيد غير مصدق من إحداث تعطل لعملية iApp على المنفذ 36422 عبر SIGABRT. تحدث المشكلة عندما يتلقى iApp طلب «E42 RIC SUBSCRIPTION REQUEST» يحتوي على حقل `ricEventTriggerDefinition` فارغ؛ ففي حين أن وحدة فك التشفير في طبقة E42 تقبل الحقل الفارغ على أنه صالح، فإن وحدة التشفير في طبقة E2AP تفرض قيدًا بعدم ترك الحقل فارغًا عند إعادة توجيه الطلب، مما يؤدي إلى تعطل العملية.

يحتوي RIC شبه الوقت الحقيقي (near-RT RIC) على استدعاءات `assert(0)` قابلة للوصول ضمن معالجات الرسائل الوهمية (stub) لأنواع رسائل E2AP المدرجة في القائمة البيضاء ولكن لم يتم تنفيذها بعد. يمكن لمهاجم بعيد غير مصدق أن يتسبب في تعطل عملية RIC شبه الوقت الحقيقي على المنفذ 36421 عبر SIGABRT عن طريق إرسال وحدة بيانات E2AP قابلة للفك من نوع غير مُنفَّذ، مثل `E2nodeConfigurationUpdate`. تمر الرسالة بنجاح عبر التحقق من القائمة البيضاء ولكنها تُشغِّل تأكيدًا غير مشروط في المعالج.

يمكن لمهاجم عن بُعد غير مصدَّق عليه أن يتسبب في تعطل عملية iApp على المنفذ 36422 عن طريق إرسال طلب `E42 RIC SUBSCRIPTION REQUEST` يشير إلى عقدة E2 غير موجودة. يحدث هذا لأن دالة البحث تُرجع القيمة NULL، مما يؤدي إلى ظهور إشارة SIGABRT في إصدارات Debug بسبب دالة `assert()` أو ظهور إشارة SIGSEGV في إصدارات Release بسبب إزالة مرجعية مؤشر null. يتم تشغيل الهجوم عن طريق توفير قيمة `global e2 node id` عشوائية.

يتم تشغيل تأكيد قابل للوصول في الدالة `e2ap create pdu()` عند فشل فك تشفير ASN.1 PER (قواعد الترميز المضغوط، وهو تنسيق ترميز ثنائي لبيانات ASN.1). يمكن لمهاجم بعيد غير مصدق عليه إرسال تسلسل بايتات غير متوافق مع PER عبر SCTP إلى RIC شبه الوقت الحقيقي (near-RT RIC) على المنفذ 36421 أو إلى iApp على المنفذ 36422، مما يتسبب في تعطل العملية عبر SIGABRT. يحدث هذا قبل إجراء أي تحقق من صحة على مستوى البروتوكول ويؤثر على إصدارات بروتوكول E2AP v1.01 و v2.03 و v3.01.

يتعطل RIC شبه الوقت الحقيقي (near-RT) عند تلقيه رسالة RIC INDICATION تحتوي على `ran func id` غير موجود في سجله. يحدث هذا لأن عملية البحث تُرجع NULL، مما يؤدي إلى فشل assert() في إصدارات Debug (SIGABRT) أو إزالة مرجعية مؤشر NULL في إصدارات Release (SIGSEGV). يمكن لمهاجم بعيد غير مصدق أن يتسبب في هذا التعطل عن طريق إرسال رسالة RIC INDICATION مصممة خصيصًا بقيمة `ran func id` عشوائية إلى المنفذ 36421.

توجد مشكلة تتمثل في استخدام عداد من نوع `uint16 t` لتعيين `xapp id`، مع تخزينه في حقول الرسائل من نوع `uint32 t`. بعد أكثر من 65,530 طلب E42 SETUP REQUEST، يلتف العداد ذو 16 بت، مما يؤدي إلى تكرار `xapp ids`. وهذا يتسبب في تعطل iApp (المنفذ 36422) عند محاولته تسجيل معرّف مكرر ضمن بنية البيانات الداخلية الخاصة به. يمكن لمهاجم عن بُعد إحداث هذا التعطل من خلال الاتصال المتكرر وطلب تسجيلات xApp جديدة.

توجد مشكلة في حساب مقياس استخدام PRB الخاص بوظيفة E2SM-KPM RAN داخل مكون `nr-softmodem`. تقوم الدالتان `fill RRU PrbTotDl()` و`fill RRU PrbTotUl()` بحساب نسب استخدام PRB عن طريق القسمة على الفرق بين عينتين متتاليتين من `total prb aggregate` دون التحقق مما إذا كان المقسوم عليه يساوي صفرًا. يمكن لتطبيق xApp ضار أن يثير هذه المشكلة عن طريق إرسال عدد كبير من طلبات `E42 RIC SUBSCRIPTION REQUEST` عبر تطبيق FlexRIC iApp على المنفذ 36422/SCTP، مما يتسبب في قيام وكيل E2 بإنشاء تقارير مؤشرات KPM بتردد عالٍ. إذا أنتجت فترتا أخذ العينات المتتاليتان قيمًا مجمعة متطابقة لـ PRB، يحدث قسمة على الصفر، مما يؤدي إلى حدوث SIGFPE (استثناء النقطة العائمة) وتعطل عملية محطة 5G الأساسية. ويؤدي ذلك إلى انقطاع كامل لخدمة الخلية 5G لجميع أجهزة المستخدم (UE) المتصلة. ولا يتطلب استغلال هذه الثغرة أي مصادقة.

يوجد ثغرة في آلية عزل iApp xApp تسمح بتجاوز عملية المصادقة. تقوم الدالة `eq xapp ric gen id()` الموجودة في src/ric/iApp/xapp ric id.c بمقارنة `m0->xapp id` مع نفسها بشكل غير صحيح بدلاً من مقارنتها بـ `m1->xapp id`، مما يؤدي إلى تجاهل بُعد هوية xApp. ونتيجة لذلك، يمكن لـ xApp ضار متصل بـ iApp عبر المنفذ 36422 حذف الاشتراكات الخاصة بأي xApp آخر عن طريق إرسال طلب E42 RIC SUBSCRIPTION DELETE REQUEST مع `ric gen id` مطابق. يؤدي هذا الخلل إلى اختراق العزل متعدد المستأجرين في عمليات النشر التي تتشارك فيها عدة xApps نفس RIC.

توجد مشكلة تتمثل في أن البرنامج يثق في حقل `xapp id` الوارد في حمولات رسائل E42 دون ربطه بارتباط SCTP الخاص بالمرسل. ولا تقوم وظيفة التحقق `valid xapp id()` إلا بالتحقق من أن القيمة تقع ضمن النطاق المخصص. يمكن لمهاجم بعيد غير مصدق أن ينتحل صفة أي xApp عن طريق تحديد `xapp id` مستهدف في الطلبات المرسلة إلى نقطة نهاية iApp على المنفذ 36422. يؤدي هذا إلى توجيه الردود بشكل خاطئ إلى تطبيق xApp الضحية، مما قد يتسبب في تعطل تطبيق xApp الضحية أو RIC أو iApp بسبب عدم اتساق الحالة في بنية بيانات شجرة الأحمر والأسود، وهي شجرة بحث ثنائية ذاتية التوازن تُستخدم لتخزين البيانات واسترجاعها بكفاءة.