Open5GS NRF Denial of Service (CVE-2025-41067 & CVE-2025-41068)

Dieses Repository enthält Proof-of-Concept-Exploit-Skripte (PoC) für zwei Schwachstellen mit hohem Schweregrad, die in NewPlane's Open5GS entdeckt wurden. Diese Schwachstellen können von einem Angreifer ausgenutzt werden, um einen Denial of Service (DoS) in der NRF-Komponente (Network Repository Function) zu verursachen.

Details zu den Schwachstellen

• CVEs: CVE-2025-41067, CVE-2025-41068
• Betroffene Software: Open5GS
• Betroffene Komponente: Network Repository Function (NRF)
• Betroffene Versionen: Vor 2.7.6
• Auswirkung: Denial of Service (DoS)
• GitHub Issues:
  • CVE-2025-41067
  • CVE-2025-41068

Offizielles Advisory

Die koordinierte Offenlegung und das offizielle Advisory für diese Schwachstellen sind auf der Website von INCIBE zu finden:

• INCIBE-CERT Advisory: Multiple vulnerabilities in NewPlane's Open5GS

Beschreibung

Bei den Schwachstellen handelt es sich um erreichbare Assertions innerhalb des Open5GS-NRF. Ein Angreifer mit Netzwerkzugriff auf die HTTP/2-Schnittstelle des NRF kann bestimmte Sequenzen von API-Anfragen senden, die zum Absturz des open5gs-nrfd-Prozesses führen. Dadurch wird der Discovery-Dienst des 5G-Netzwerks funktionsunfähig.

Dieses Repository enthält zwei verschiedene Skripte, um den Absturz über unterschiedliche Methoden auszulösen.

Enthaltene Skripte

1. CVE-2025-41067.py Dieses Skript löst die Schwachstelle durch die folgenden Aktionen aus:

   • Es fragt den Endpunkt /nnrf-nfm/v1/nf-instances ab, um eine Liste aller Netzwerkfunktionen zu erhalten.
   • Es durchläuft die Ergebnisse und identifiziert alle Instanzen, bei denen nfType gleich NRF ist.
   • Anschließend sendet es eine DELETE-Anfrage für jede identifizierte NRF-Instanz. Diese Aktion auf eine selbstreferenzielle Instanz führt zum Absturz des NRF-Prozesses.

2. CVE-2025-41068.py Dieses Skript löst eine ähnliche Schwachstelle über einen anderen Vektor aus:

   • Zunächst sendet es eine PUT-Anfrage, um eine neue NF-Instanz mit einem nicht existierenden nfType ('EMF') zu registrieren.
   • Wenn das Skript anschließend eine Liste aller NF-Instanzen anfordert, versucht der NRF, diesen ungültigen Eintrag zu verarbeiten, was zum Absturz des Dienstes führt.

Voraussetzungen

• Python 3.6+
• Die Bibliothek httpx mit HTTP/2-Unterstützung.

Die erforderliche Abhängigkeit kann mit pip installiert werden:

pip install -r requirements.txt

Verwendung

Beide Skripte werden über die Befehlszeile ausgeführt, wobei die IP-Adresse des Ziel-Open5GS-NRF das einzige Argument ist.

So führen Sie den Exploit basierend auf Löschung aus:

python CVE-2025-41067.py <NRF_TARGET_IP>

So führen Sie den Exploit basierend auf Registrierung aus:

python CVE-2025-41068.py <NRF_TARGET_IP>

Beispiel:

python CVE-2025-41067.py 192.168.50.10

Haftungsausschluss

Diese Skripte dienen nur Bildungszwecken, autorisierten Sicherheitstests und Forschungszwecken. Der Autor ist nicht verantwortlich für Missbrauch oder Schäden, die durch diese Tools verursacht werden. Holen Sie immer eine ausdrückliche Genehmigung ein, bevor Sie ein System testen, das Ihnen nicht gehört.

Danksagungen

• Dem Open5GS-Team für die schnelle Reaktion und die Bereitstellung eines Patches in Version v2.7.6.
• GMV, das mir Zeit für diese Forschung eingeräumt hat.