Un estudio académico ha desvelado una 'clase generalizada' de vulnerabilidades de seguridad que afectan a las redes centrales (core) 4G y 5G. Si se explotan con éxito, estas fallas podrían desencadenar ataques de denegación de servicio (DoS) e incluso el secuestro de la sesión de red de un usuario, permitiendo a un atacante tomar el control de dicha sesión.
Los hallazgos han sido publicados por un grupo de investigadores de la Universidad Tecnológica de Nanyang (NTU) en Singapur, en un artículo titulado 'Comprensión de los errores de confianza implícita en las redes de operadores principales mediante el descubrimiento y análisis de fallas multiagente' (Understanding Implicit Trust Errors in Core Carrier Networks through Multi-Agent Flaw Discovery and Analysis).
El estudio ha descubierto decenas de vulnerabilidades en las interfaces de señalización de las redes centrales LTE/5G, cubriendo específicamente dos implementaciones LTE (Open5GS y OpenAirInterface) y cinco implementaciones 5G (Open5GS, free5GC, OpenAirInterface, SD-Core y eUPF) en dos protocolos de señalización principales: GTP-C y PFCP.
'Nuestra investigación encuentra que estas vulnerabilidades comparten una única causa raíz recurrente: la confianza implícita entre las funciones de la red central, y están presentes en núcleos LTE/5G de código abierto ampliamente utilizados que respaldan bancos de pruebas de investigación e implementaciones comerciales por igual', afirmaron los investigadores.
Si bien las redes centrales celulares (CN) han incorporado históricamente aislamiento físico como medio para garantizar que las interfaces entre las funciones de la red central operen dentro de una zona de confianza, la transición a implementaciones nativas de la nube ha hecho que el modelo de confianza sea 'frágil' y ha ampliado la superficie de ataque, permitiendo que adversarios potenciales accedan a interfaces que antes eran internas.
Los investigadores dijeron que encontraron un patrón de confianza ciega entre los componentes de la red central (CN), lo que, junto con debilidades en esas interfaces, puede ser explotado por un actor externo para llevar a cabo actividades maliciosas, incluidos DoS y secuestro de sesión, cuando se vuelven accesibles a través de Internet. Estos errores han sido denominados 'errores de confianza implícita' (iTrue).
Para detectar mejor estos iTrue y comprender sus consecuencias, el estudio implicó el desarrollo de un sistema multiagente asistido por un modelo de lenguaje grande (LLM), denominado iFinder, que realiza una serie de tareas: resumir fallas conocidas, categorizarlas en patrones de detección y usarlas como base para descubrir nuevos iTrue en implementaciones de CN.
Algunas de las debilidades identificadas se relacionan con la falta de diligencia debida en la validación del formato de los mensajes, la semántica de los mensajes y la disponibilidad de recursos, optando los componentes de la CN por actuar ciegamente sobre los mensajes recibidos de pares internos.
En la siguiente fase, las alucinaciones y los falsos positivos se eliminan mediante una 'novedosa técnica de verificación cruzada entre código y especificación', tras lo cual se utiliza un enfoque impulsado por LLM para generar exploits de prueba de concepto (PoC) para posibles iTrue y refinarlos iterativamente ejecutándolos contra implementaciones de CN y analizando los resultados.
Según los investigadores, la eliminación de falsos positivos implica mapear un candidato iTrue al procedimiento de protocolo que implementa y verificar si las validaciones y comprobaciones de recursos necesarias se aplican realmente en el código base.
Al ejecutar el agente contra las siete implementaciones de CN de código abierto 4G y 5G mencionadas, se descubrieron 84 vulnerabilidades previamente desconocidas, de las cuales 83 ya han sido confirmadas y 81 han recibido identificadores CVE.
Se dice que algunas de las fallas iTrue en sistemas 5G se heredaron de sus contrapartes 4G, lo que indica cómo los riesgos de seguridad pueden saltar generaciones y cómo la falta de adaptación de las tecnologías heredadas a las implementaciones modernas puede generar nuevas preocupaciones que antes no se tenían en cuenta.
Dicho esto, los ataques exitosos basados en fallas iTrue de DoS y secuestro de sesión suponen que el adversario puede obtener la dirección IP de los componentes de la red central, por ejemplo, a partir de documentación pública, enumeración pasiva o escaneo activo, así como tener acceso a las interfaces internas de la red central y enviar mensajes arbitrarios del Protocolo de Control de Reenvío de Paquetes (PFCP) y del Plano de Control del Protocolo de Túnel GPRS (GTP-C), violando el modelo de confianza al explotar configuraciones incorrectas en la implementación en la nube.
Este atacante podría ser remoto (es decir, ubicado fuera de la red central celular) o un Equipo de Usuario (UE) malicioso utilizado para conectarse a una red móvil; este último implica inyectar cargas útiles cuidadosamente diseñadas en el flujo de datos de enlace ascendente.
'Al explotar el túnel de protocolo y el puente de límite de red, el atacante introduce mensajes PFCP o GTP-C manipulados dentro de mensajes GTP-U, de modo que, en ausencia de una aplicación estricta de límites, cruzan el límite y son entregados y analizados por los componentes de la red central', dijeron los investigadores.
En un escenario hipotético de ataque DoS contra Open5GS LTE, un atacante puede enviar mensajes GTPv2-C para desencadenar la vulnerabilidad al analizar mensajes de Solicitud de Creación de Sesión GTPv2-C, lo que provoca que el Plano de Control de la Puerta de Enlace de Servicio (SGW-C) falle.
En cuanto al secuestro de sesión, un adversario de Internet puede realizar la siguiente secuencia de acciones: 1. El atacante envía una Solicitud de Establecimiento de Asociación PFCP a la Función de Plano de Usuario (UPF). 2. El UE víctima inicia un 'attach', lo que desencadena el envío de una Solicitud de Establecimiento de Sesión PFCP por parte de la SMF a la UPF. 3. El atacante emite a continuación una Solicitud de Modificación de Sesión PFCP que reutiliza el ID de la Regla de Detección de Paquetes (PDR) de la víctima con un valor de Precedencia más bajo (mayor prioridad) y lo vincula a una Regla de Acción de Reenvío (FAR) maliciosa. 4. La UPF admite el PDR duplicado y ordena los PDR por precedencia, colocando la regla maliciosa antes que la legítima. 5. Durante el procesamiento de paquetes, la UPF coincide primero con el PDR malicioso y establece un nuevo túnel de reenvío entre la UPF y el atacante. 6. El tráfico de enlace ascendente de la víctima se reenvía al atacante en lugar de a Internet.
'En un nivel alto, esta falla permite a un atacante inyectar una Solicitud de Modificación de Sesión PFCP, lo que hace que la Función de Plano de Usuario (UPF) reenvíe el tráfico de enlace ascendente del UE víctima al atacante', señalaron los investigadores.
La vulnerabilidad de secuestro de sesión se ha descubierto en dos redes centrales 5G comerciales del mundo real. Un proveedor, Dotouch, ha abordado el defecto en XproUPF (CVE-2026-8233, puntuación CVSS: 4.6). El segundo proveedor de 5GC comercial, un importante operador 5G cuyo nombre no se ha revelado, aún se encuentra en proceso de corrección.
'El número cada vez mayor de vulnerabilidades demuestra que no se trata de una pequeña colección de errores de implementación aislados, sino de un problema de seguridad más amplio y continuo que requiere atención urgente por parte de los proveedores y operadores de red', declaró Ziyu Lin, uno de los autores del estudio, en un comunicado compartido con The Hacker News.
