Um estudo acadêmico revelou uma “classe ampla” de vulnerabilidades de segurança que afeta redes centrais 4G e 5G e que, se explorada com sucesso, pode permitir ataques de negação de serviço, ou DoS, e até sequestro de sessão, com a possibilidade de um invasor assumir o controle da sessão de rede de um usuário.
Os resultados foram divulgados por pesquisadores da Universidade Tecnológica Nanyang, em Singapura, em um artigo intitulado “Understanding Implicit Trust Errors in Core Carrier Networks through Multi-Agent Flaw Discovery and Analysis”.
O estudo identificou dezenas de vulnerabilidades nas interfaces de sinalização das redes centrais LTE e 5G, abrangendo especificamente duas implementações LTE, Open5GS e OpenAirInterface, e cinco implementações 5G, Open5GS, free5GC, OpenAirInterface, SD-Core e eUPF, em dois protocolos centrais de sinalização, GTP-C e PFCP.
“A pesquisa mostra que essas vulnerabilidades compartilham uma causa raiz recorrente, a confiança implícita entre funções da rede central, e estão presentes em núcleos LTE e 5G open source amplamente usados, que sustentam tanto bancadas de pesquisa quanto implantações comerciais”, afirmaram os pesquisadores.
Embora as redes centrais celulares tenham historicamente adotado o isolamento físico como forma de garantir que as interfaces entre funções da rede operem dentro de uma zona de confiança, a transição para implantações cloud-native tornou esse modelo de confiança “frágil” e ampliou a superfície de ataque, permitindo que adversários alcancem interfaces que antes eram internas.
Os pesquisadores disseram ter encontrado um padrão de confiança cega entre componentes da rede central que, combinado com fraquezas nessas interfaces, pode ser explorado por um ator externo para realizar atividades maliciosas, incluindo DoS e sequestro de sessão, quando esses pontos se tornam acessíveis pela internet.
Esses erros foram batizados de implicit trust errors, ou iTrue.
Para detectar melhor esses iTrues e entender suas consequências, o estudo desenvolveu um sistema multiagente assistido por modelo de linguagem de grande porte, ou LLM, chamado iFinder.
A ferramenta executa uma série de tarefas: resume falhas conhecidas, as classifica em padrões de detecção e usa essa base para descobrir novos iTrues em implementações de redes centrais.
Algumas das fraquezas identificadas estão ligadas à falta de diligência na validação do formato das mensagens, da semântica das mensagens e da disponibilidade de recursos, com os componentes da rede central optando por agir cegamente sobre mensagens recebidas de pares internos.
Na fase seguinte, alucinações e falsos positivos são eliminados por meio de uma “nova técnica de cruzamento entre código e especificação”.
Em seguida, uma abordagem orientada por LLM é usada para gerar exploits de prova de conceito, ou PoC, para possíveis iTrues e refiná-los de forma iterativa, executando-os contra implementações de redes centrais e analisando os resultados.
Segundo os pesquisadores, a eliminação de falsos positivos envolve mapear um candidato a iTrue ao procedimento de protocolo que ele implementa e verificar se as validações e checagens de recursos necessárias estão realmente sendo aplicadas no código.
Ao submeter o agente às sete implementações open source de rede central 4G e 5G citadas no estudo, a equipe encontrou 84 vulnerabilidades até então desconhecidas.
Destas, 83 já foram confirmadas e 81 receberam identificadores CVE.
Algumas das falhas iTrue em sistemas 5G teriam sido herdadas de suas contrapartes 4G, o que mostra como riscos de segurança podem atravessar gerações e como a falha em adaptar legados a implantações modernas pode gerar novas preocupações que antes não haviam sido consideradas.
Em um exemplo de ataque, a exploração de IDs PDR duplicados em mensagens PFCP Session Modification Request permite provocar sequestro de sessão no UPF ao abusar da ausência de validação de unicidade.
Dito isso, ataques bem-sucedidos com base nas falhas iTrue de DoS e sequestro de sessão pressupõem que o adversário consiga obter o endereço IP de componentes da rede central, seja por documentação pública, enumeração passiva ou varredura ativa, além de ter acesso a interfaces internas da rede central e enviar mensagens arbitrárias do Packet Forwarding Control Protocol, ou PFCP, e do GPRS Tunnelling Protocol Control Plane, ou GTP-C, em violação ao modelo de confiança, explorando configurações incorretas em ambientes cloud.
Esse atacante pode estar remotamente fora da rede central celular ou pode ser um equipamento do usuário, ou UE, malicioso usado para se conectar a uma rede móvel.
Nesse segundo caso, isso exige injetar payloads cuidadosamente preparados no fluxo de dados de uplink.
“Ao explorar o tunelamento de protocolos e a ponte entre fronteiras de rede, o atacante contrabandeia mensagens PFCP ou GTP-C dentro de mensagens GTP-U para que, na ausência de uma aplicação rigorosa das fronteiras, elas atravessem esse limite e sejam entregues e processadas pelos componentes da rede central”, afirmaram os pesquisadores.
Em um cenário hipotético de DoS contra o Open5GS LTE, um atacante pode enviar mensagens GTPv2-C para acionar a vulnerabilidade durante o processamento de mensagens GTPv2-C Create Session Request, fazendo com que o plano de controle do Serving Gateway, ou SGW-C, falhe.
Já no caso de sequestro de sessão, um adversário na internet pode executar a seguinte sequência de ações:
O atacante envia uma PFCP Association Setup Request para a User Plane Function, ou UPF.
O UE da vítima inicia um “attach”, acionando o SMF para enviar uma PFCP Session Establishment Request para a UPF.
Em seguida, o atacante envia uma PFCP Session Modification Request que reutiliza o ID do Packet Detection Rule, ou PDR, da vítima com um valor menor de Precedence, ou seja, com prioridade mais alta, e o associa a uma Forwarding Action Rule, ou FAR, maliciosa.
A UPF aceita o PDR duplicado e ordena os PDRs por precedência, colocando a regra maliciosa à frente da legítima.
Durante o processamento dos pacotes, a UPF corresponde primeiro ao PDR malicioso e estabelece um novo túnel de encaminhamento entre a UPF e o atacante.
O tráfego de uplink da vítima passa a ser encaminhado ao atacante, e não à internet.
“Em alto nível, essa falha permite que um atacante injete uma PFCP Session Modification Request, fazendo com que a User Plane Function, ou UPF, encaminhe o tráfego de uplink do UE da vítima para o atacante”, observou a equipe.
A vulnerabilidade de sequestro de sessão foi descoberta em duas redes centrais 5G comerciais reais.
Um dos fornecedores, a Dotouch, já corrigiu a falha no XproUPF (
CVE-2026-8233
, CVSS 4,6).
O segundo fornecedor comercial de 5GC, uma grande operadora de 5G não identificada, ainda está em processo de remediação.
“O número continuamente crescente de vulnerabilidades mostra que não se trata de um pequeno conjunto de bugs isolados de implementação, mas de um problema de segurança mais amplo e em andamento, que exige atenção urgente de fornecedores e operadores de rede”, disse Ziyu Lin, um dos autores do estudo.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...