Une équipe de chercheurs a mis en évidence des vulnérabilités 4G/5G touchant des réseaux cœur LTE et 5G. Si elles sont exploitées, ces failles pourraient permettre des attaques par déni de service (DoS) et, fait particulièrement préoccupant, une usurpation de session où l’attaquant prend le contrôle de la session réseau d’un utilisateur.
Le travail, publié par des chercheurs de l’université Nanyang Technological University (Singapour) et présenté dans un article intitulé « Understanding Implicit Trust Errors in Core Carrier Networks through Multi-Agent Flaw Discovery and Analysis », s’appuie sur une démarche de recherche combinant analyse de failles connues et découverte assistée par modèle de langage.
Pourquoi ces failles apparaissent : la confiance « implicite » entre fonctions
Selon les conclusions des auteurs, les vulnérabilités partagent une cause récurrente : une forme de confiance implicite entre fonctions du réseau cœur. Historiquement, l’architecture des réseaux cellulaires s’appuyait sur une isolation physique afin de limiter l’accès aux interfaces internes et de cantonner les échanges dans une zone de confiance.
Avec la généralisation du déploiement « cloud-native », ce modèle devient plus fragile. Les fonctions du cœur peuvent être davantage exposées, ce qui augmente la surface d’attaque : des interfaces qui restaient auparavant inatteignables peuvent devenir accessibles depuis l’extérieur.
Dans cette logique, les composants du réseau tendent à agir sans validation suffisante sur les messages reçus de leurs pairs. Lorsque ces validations manquent — formats, sémantique des messages ou disponibilité des ressources — un acteur externe peut tirer parti de l’erreur pour mener des actions malveillantes, notamment DoS et usurpation de session.
Quels systèmes sont concernés : 4G et 5G, plusieurs cœurs open source
Les chercheurs ont concentré leur étude sur des interfaces de signalisation utilisées par les cœurs LTE/5G. L’analyse couvre deux implémentations LTE (Open5GS et OpenAirInterface) et cinq implémentations 5G (Open5GS, free5GC, OpenAirInterface, SD-Core, eUPF).
Le tout est évalué sur deux protocoles de contrôle : GTP-C (GPRS Tunnelling Protocol Control Plane) et PFCP (Packet Forwarding Control Protocol).
À l’échelle des découvertes, le travail décrit des erreurs appelées implicit trust errors (iTrues), un nom qui reflète précisément le mécanisme de confiance aveugle identifié entre composants.
De l’étude à la découverte : iFinder et génération de preuves de concept
Pour détecter et comprendre les iTrues, les chercheurs ont conçu une approche baptisée iFinder. Cette solution s’appuie sur un système multi-agent assisté par un large language model (LLM).
Concrètement, l’agent :
- résume des failles connues ;
- les classe en schémas de détection ;
- s’en sert pour chercher de nouvelles iTrues dans les implémentations de cœurs.
Un point important concerne le traitement des faux positifs. Les auteurs indiquent avoir utilisé une technique originale de « cross-checking » basée sur la spécification du code, afin de vérifier si les validations nécessaires et les contrôles de ressources sont réellement présents dans la base de code. Ensuite, une génération assistée par LLM produit des preuves de concept (PoC), qui sont affinées par exécution et analyse sur les implémentations testées.
Résultat : 84 vulnérabilités inédites et validation CVE
En faisant fonctionner l’agent sur les sept implémentations open source étudiées, les chercheurs ont identifié 84 vulnérabilités auparavant inconnues. Parmi elles :
- 83 ont été confirmées ;
- 81 ont reçu des identifiants CVE.
Le papier met aussi en avant un phénomène de propagation : certaines iTrues 5G sembleraient héritées de leurs équivalents 4G. Autrement dit, un défaut non corrigé ou non adapté lors de la transition vers le moderne peut « sauter une génération » et resurgir dans des versions ultérieures, même quand les architectures évoluent.
DoS et usurpation de session : deux scénarios qui illustrent le risque
Les chercheurs précisent que les attaques efficaces supposent que l’attaquant puisse, d’une part, obtenir l’adresse IP des composants du réseau cœur (par exemple via documentation publique, énumération passive ou balayage actif), et, d’autre part, atteindre les interfaces internes pour envoyer des messages arbitraires PFCP et GTP-C en contournant la logique de confiance.
Deux profils d’attaquants sont envisagés :
- un adversaire à distance (en dehors du réseau cœur) ;
- un équipement utilisateur (UE) malveillant, connecté au réseau mobile, capable d’injecter des charges utiles soigneusement conçues dans le flux montant.
Exemple DoS côté LTE : crash du plan de contrôle
Dans un scénario hypothétique contre Open5GS LTE, un attaquant pourrait envoyer des messages GTPv2-C afin de déclencher la vulnérabilité lors du traitement de requêtes Create Session Request. L’effet décrit est la chute (crash) du composant Serving Gateway Control plane (SGW-C).
Exemple d’usurpation : détour du trafic utilisateur vers l’attaquant
Pour l’usurpation de session, les chercheurs décrivent une séquence d’actions qui exploite des mécanismes de tunnel et de franchissement de frontière réseau. L’idée centrale est de faire « glisser » des messages PFCP ou GTP-C à l’intérieur d’autres messages, de sorte que, sans contrôle strict aux frontières, ils soient traités par les composants du réseau cœur.
Le scénario décrit (dans le cadre de l’étude) repose sur une logique où l’attaquant :
- envoie une PFCP Association Setup Request à la User Plane Function (UPF) ;
- provoque un attachement côté victime, déclenchant l’envoi d’une PFCP Session Establishment Request par le SMF vers l’UPF ;
- émet ensuite une PFCP Session Modification Request en réutilisant l’ID de Packet Detection Rule (PDR) avec une précédence plus élevée ;
- lie cette règle à une Forwarding Action Rule (FAR) malveillante ;
- force l’UPF à accepter une règle en doublon, puis à trier les PDR par priorité, plaçant la règle malveillante avant la légitime ;
- lors du traitement, l’UPF choisit d’abord la PDR malveillante et crée un tunnel de routage vers l’attaquant ;
- le trafic montant de la victime est alors redirigé vers l’attaquant plutôt que vers Internet.
Selon les auteurs, cette faille permet à l’attaquant d’injecter une requête de modification PFCP qui entraîne l’UPF à acheminer le trafic de l’équipement victime vers un point contrôlé par l’adversaire.
Conséquences possibles : observation, altération ou perturbation ciblée
Dans les échanges rapportés, un auteur de l’étude (Ziyu Lin) explique que l’usurpation peut non seulement permettre l’observation du trafic, mais aussi sa redirection vers un end-point GTP-U contrôlé par l’attaquant.
Les impacts mentionnés incluent :
- inspection d’un trafic applicatif (potentiellement non chiffré) ;
- en cas de chiffrement, exposition possible de métadonnées réseau (adresses de destination, timing, volumes) ;
- possibilité de modifier, relayer ou supprimer des paquets avant de les renvoyer ;
- capacité à créer une condition de DoS sélectif pour un abonné donné, sans forcément affecter l’ensemble de l’UPF.
Corrections chez les fournisseurs et niveau d’urgence
Les chercheurs indiquent que la vulnérabilité d’usurpation de session a été observée sur deux cœurs 5G commerciaux. Un fournisseur, Dotouch, aurait corrigé le défaut dans XproUPF (référence CVE-2026-8233, score CVSS de 4,6). Pour un second acteur (un fournisseur de 5GC majeur non nommé), la remédiation serait en cours.
Le rapport souligne aussi que des CVE différentes peuvent décrire la même faiblesse sous-jacente dans des produits indépendamment développés. Par ailleurs, une autre vulnérabilité spécifique à un produit (CVE-2025-66776 sur eUPF) pourrait également conduire à une usurpation de session.
En résumé, le message des auteurs est clair : le volume croissant de vulnérabilités ne reflète pas une simple accumulation de bugs isolés, mais plutôt un problème de sécurité plus large et continu nécessitant une attention urgente de la part des éditeurs et des opérateurs.
Ce que les opérateurs peuvent faire dès maintenant
Sans entrer dans des recommandations non couvertes par l’étude, on peut retenir deux enseignements opérationnels utiles à partir des résultats publiés.
- Renforcer la validation côté fonctions cœur : les failles identifiées pointent l’absence de contrôles sur le format, la sémantique et la disponibilité des ressources avant d’agir sur les messages reçus.
- Réduire l’exposition des interfaces : le passage au cloud-native augmente la probabilité que des composants internes deviennent joignables. Limiter l’accessibilité réseau et corriger les configurations reste donc central.
Enfin, la méthodologie de recherche décrite dans le papier montre que les systèmes modernes peuvent être analysés de façon systématique — et que l’exploitation de failles liées à la confiance entre composants n’est pas un risque théorique.
Conclusion : des vulnérabilités 4G/5G qui méritent une réponse rapide
Cette recherche met en lumière 84 vulnérabilités 4G/5G dans des cœurs LTE/5G, avec des risques concrets allant du déni de service à l’usurpation de session. Le point de friction commun identifié — la confiance implicite entre fonctions — devient encore plus critique dans des architectures cloud-native, où certaines interfaces peuvent perdre leur caractère strictement interne.
Pour les opérateurs et les éditeurs, le travail rappelle l’importance d’aligner l’implémentation sur les exigences de validation, tout en traitant rapidement les correctifs associés aux CVE et aux configurations exposant les plans de contrôle.
Source: https://thehackernews.com/2026/07/researchers-report-84-flaws-in-4g-and.html
