PT-2026-39260
CVE-2026-44330
·
تاريخ النشر
2026-05-08
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
free5GC الإصدار 4.2.1
الوصف
تقوم وظيفة التعرض الشبكي (NEF) بتحميل مجموعة المسارات
nnef-pfdmanagement دون الحاجة إلى مصادقة OAuth2 الواردة أو مصادقة رمز الحامل (bearer-token). وهذا يسمح لمهاجم الشبكة الذي لديه وصول إلى الواجهة القائمة على الخدمة (SBI) باستخدام رموز حامل مزورة أو عشوائية لتنفيذ إجراءات غير مصرح بها. وعلى وجه التحديد، يمكن للمهاجمين قراءة بيانات تطبيق PFD عبر نقاط النهاية ”/applications“ و ”/applications/{appID}“، وإنشاء أو حذف اشتراكات إخطارات التغيير في PFD باستخدام ”/subscriptions“ و ”/subscriptions/{subID}“. يحدث هذا لأن مجموعة المسارات يتم تثبيتها دون البرامج الوسيطة اللازمة للمصادقة الواردة، على الرغم من إعلانها في ServiceList الخاصة بوقت التشغيل حيث يتوقع المشغلون الحماية عبر OAuth2 الصادر عن NRF.التوصيات
قم بتحديث free5GC إلى إصدار يتضمن الإصلاح الوارد في طلب السحب رقم 23 في مستودع NEF.
كحل مؤقت، قم بتقييد الوصول الشبكي إلى واجهة NEF القائمة على الخدمة (SBI) لضمان أن الكيانات الموثوقة فقط هي التي يمكنها الوصول إلى نقاط نهاية
nnef-pfdmanagement.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾