Zhongnan Luo

Um atacante remoto não autenticado pode causar a falha do near-RT RIC na porta 36421. O problema ocorre quando uma associação SCTP (Stream Control Transmission Protocol) é fechada antes do envio de um `E2 SETUP REQUEST`. O sistema assume incorretamente que sempre existe um mapeamento entre a associação SCTP e o nó E2 no caminho de limpeza e impõe isso por meio de uma função `assert()`, resultando em um travamento se o mapeamento estiver ausente. Isso pode ser acionado ao completar um handshake SCTP e desconectar-se imediatamente sem enviar nenhuma mensagem E2AP.

O software trava ao receber um RIC SUBSCRIPTION RESPONSE contendo um `ric id` desconhecido que não possui um evento pendente correspondente. O near-RT RIC utiliza a função `assert()` para verificar a existência de um evento pendente durante o processamento da resposta. Um atacante remoto não autenticado pode enviar um RIC SUBSCRIPTION RESPONSE forjado para o near-RT RIC na porta 36421, resultando em um SIGABRT (terminação anormal) em compilações de Debug ou em uma desreferência de ponteiro NULL (SIGSEGV), que ocorre quando um programa tenta acessar um local de memória que não está mapeado, em compilações de Release.

O despachador de mensagens iApp contém uma asserção alcançável. O despachador utiliza a função `assert()` para validar mensagens E2AP recebidas contra uma lista branca de 9 entradas. Um atacante remoto não autenticado pode enviar uma PDU E2AP decodificável com um tipo de mensagem que não esteja na lista branca, disparando um SIGABRT (um sinal enviado a um processo para forçá-lo a abortar) e travando o processo iApp na porta 36422. Como o iApp e o RIC near-RT compartilham um único processo, esta ação encerra todo o serviço RIC, resultando na desconexão de todos os xApps e Nós E2.

O processo iApp na porta 36421 trava ao receber uma solicitação E2 SETUP REQUEST duplicada do mesmo Nodo E2 ou de um nodo suplantado. Isso ocorre porque o registro do iApp impõe a unicidade do ID do nodo através de uma função `assert()` em vez de realizar uma rejeição controlada. Um atacante remoto não autenticado pode desencadear um SIGABRT (um sinal enviado a um processo para forçá-lo a abortar) ao enviar duas solicitações E2 SETUP REQUEST com a mesma configuração de nodo E2.

Uma divergência de validação entre camadas permite que um atacante remoto não autenticado cause a interrupção do processo iApp na porta 36422 via SIGABRT. O problema ocorre quando o iApp recebe um 'E42 RIC SUBSCRIPTION REQUEST' contendo um campo `ricEventTriggerDefinition` vazio; enquanto o decodificador da camada E42 aceita o campo vazio como válido, o codificador E2AP impõe uma restrição de preenchimento obrigatório ao encaminhar a solicitação, resultando no travamento.

O near-RT RIC contém chamadas `assert(0)` alcançáveis em manipuladores de mensagens stub para tipos de mensagens E2AP que estão na lista branca, mas não foram implementados. Um atacante remoto não autenticado pode causar a interrupção do processo near-RT RIC na porta 36421 via SIGABRT ao enviar uma PDU E2AP decodificável de um tipo não implementado, como `E2nodeConfigurationUpdate`. A mensagem passa na validação da lista branca, mas aciona uma asserção incondicional no manipulador.

Um invasor remoto não autenticado pode causar a interrupção do processo iApp na porta 36422 ao enviar um `E42 RIC SUBSCRIPTION REQUEST` que referencia um Nó E2 inexistente. Isso ocorre porque a função de busca retorna NULL, resultando em um SIGABRT em builds de Debug devido a um `assert()` ou um SIGSEGV em builds de Release devido a uma desreferência de ponteiro nulo. O ataque é acionado ao fornecer um `global e2 node id` arbitrário.

Uma asserção alcançável na função `e2ap create pdu()` é disparada quando a decodificação ASN.1 PER (Packed Encoding Rules, um formato de codificação binária para dados ASN.1) falha. Um invasor remoto não autenticado pode enviar uma sequência de bytes não-PER via SCTP para o near-RT RIC na porta 36421 ou para o iApp na porta 36422, causando a interrupção do processo via SIGABRT. Isso ocorre antes de qualquer validação de nível de protocolo e afeta as versões v1.01, v2.03 e v3.01 do protocolo E2AP.

O near-RT RIC trava ao receber uma mensagem RIC INDICATION contendo um `ran func id` que não está presente em seu registro. Isso ocorre porque o processo de busca retorna NULL, o que leva a uma falha de assert() em compilações Debug (SIGABRT) ou a uma desreferência de ponteiro NULL em compilações Release (SIGSEGV). Um invasor remoto não autenticado pode causar essa falha enviando uma mensagem RIC INDICATION especialmente elaborada com um valor `ran func id` arbitrário para a porta 36421.

Existe um problema onde um contador `uint16 t` é utilizado para a atribuição de `xapp id`, mas o valor é armazenado em campos de mensagem `uint32 t`. Após mais de 65.530 E42 SETUP REQUESTs, o contador de 16 bits sofre um wrap around, resultando em `xapp ids` duplicados. Isso causa a falha (crash) do iApp (porta 36422) ao tentar registrar um ID duplicado em sua estrutura de dados interna. Um invasor remoto pode desencadear essa falha conectando-se repetidamente e solicitando novos registros de xApp.

Um problema existe no cálculo da métrica de utilização de PRB da Função RAN E2SM-KPM dentro do componente `nr-softmodem`. As funções `fill RRU PrbTotDl()` e `fill RRU PrbTotUl()` calculam as porcentagens de uso de PRB dividindo pela diferença de duas amostras consecutivas de `total prb aggregate` sem verificar se o divisor é zero. Um xApp malicioso pode desencadear isso enviando um alto volume de `E42 RIC SUBSCRIPTION REQUESTs` via FlexRIC iApp na porta 36422/SCTP, fazendo com que o Agente E2 gere relatórios de Indicação KPM em alta frequência. Se dois intervalos de amostragem consecutivos produzirem valores agregados de PRB idênticos, ocorre uma divisão por zero, disparando um SIGFPE (exceção de ponto flutuante) e travando o processo da estação base 5G. Isso resulta em uma interrupção completa do serviço de célula 5G para todos os Equipamentos de Usuário (UE) conectados. Nenhuma autenticação é necessária para explorar este problema.

Existe uma falha de bypass de autorização no mecanismo de isolamento de xApp do iApp. A função `eq xapp ric gen id()` em src/ric/iApp/xapp ric id.c compara incorretamente `m0->xapp id` consigo mesmo em vez de compará-lo com `m1->xapp id`, ignorando a dimensão de identidade do xApp. Consequentemente, um xApp malicioso conectado ao iApp através da porta 36422 pode excluir inscrições de qualquer outro xApp enviando um E42 RIC SUBSCRIPTION DELETE REQUEST com um `ric gen id` correspondente. Esta falha compromete o isolamento multi-tenant em implantações onde múltiplos xApps compartilham o mesmo RIC.

Existe um problema onde o software confia no campo `xapp id` de payloads de mensagens E42 sem vinculá-lo à associação SCTP do remetente. A função de validação `valid xapp id()` apenas verifica se o valor está dentro da faixa atribuída. Um invasor remoto não autenticado pode se passar por qualquer xApp especificando o `xapp id` em solicitações enviadas ao endpoint iApp na porta 36422. Isso faz com que as respostas sejam roteadas incorretamente para o xApp vítima, o que pode causar a falha do xApp vítima, do RIC ou do próprio iApp devido a inconsistências de estado na estrutura de dados de árvore rubro-negra, uma árvore de busca binária auto-balanceada usada para armazenamento e recuperação eficiente de dados.