Parser-Schwachstellen in Mobilfunk-Protokollen


AV: A15

Parser-Schwachstellen in Mobilfunk-Protokollen betreffen die Verarbeitung speziell präparierter Signalisierungsnachrichten in LTE- und 5G-Netzen. Fehler in der Parser-Logik können Abstürze auslösen und im Einzelfall weitergehende Angriffe auf Netzkomponenten oder Basisband-Implementierungen ermöglichen.


Details:

Viele Mobilfunkangriffe zielen nicht nur auf Kryptografie, sondern auf die Parser-Logik von Protokollnachrichten. Bereits einzelne fehlerhafte oder unerwartete Felder in NAS-/S1AP-/NGAP-Nachrichten können durch unzureichende Längen-, Typ- oder Zustandsprüfungen zu Abstürzen oder im Einzelfall zu weitergehenden Kompromittierungen führen [1].

Aktuelle Untersuchungen zeigen, dass solche Parsing-Schwachstellen über verschiedene LTE/5G-Implementierungen hinweg auftreten können und sowohl Verfügbarkeit als auch Integrität der Mobilfunkinfrastruktur gefährden [2].


Quellen/Links:



Erkennung:

Für Endnutzer sind Parsing-Angriffe häufig nur indirekt sichtbar: wiederkehrende, lokale Netzabbrüche, ungewöhnliche Nichtverfügbarkeit von Telefonie/Daten oder stark schwankendes Netzverhalten ohne ersichtlichen Grund.

Auf Betreiberseite weisen plötzliche Prozessabstürze, gehäufte Fehlermeldungen bei Protokolldecodierung und reproduzierbare Fehler bei bestimmten Nachrichtentypen auf parsernahe Schwachstellen hin. Eine belastbare Erkennung erfordert strukturierte Log- und Protokollanalyse.



Quellen/Links:



Gegenmaßnahmen:

Die wirksamsten Gegenmaßnahmen sind robuste Eingabevalidierung und defensives Parsen: strikte Längen- und Typprüfungen, sichere Fehlerbehandlung ohne Assertions im Produktivpfad, sowie systematisches Fuzzing und Regressionstests für Protokollparser.

Zusätzlich helfen gestufte Rollouts von Patches, enges Monitoring kritischer Protokollpfade und Architekturmaßnahmen, die den Schaden einzelner Parserfehler begrenzen. In Hochrisiko-Umgebungen sollten parserbezogene Testfälle kontinuierlich in den Betriebsprozess integriert werden.


Quellen/Links:



Kategorien: 4G 5G Baseband





Weitere Vektoren aus dem Bereich

LTE Protokolle und Schwachstellen

Immer mehr Schwachstellen im LTE-Protokoll werden bekannt. Diese ermöglichen sich als ein anderer Nutzer oder auch als eine LTE Basisstation auszugeben. Ähnliche Schwachstellen gibt es schon immer in 2G (GSM)

Unverschlüsselte Datenverbindung

Bei der Datenverbindung (ps) wird zwischen dem Endgerät  und der SGSN im Kern-Netz verschlüsselt. Nicht zwischen BTS und Endgerät wie es bei einer cs-Verbindung der Fall ist. 

Verschlüsselung GEA/x (ps)

Passives Abhören auf der Luftschnittstelle ist auch bei der Datenverbindung möglich. (ps = paketvermittelt)GEA/1, GEA/2, GEA/3

Fall_Back to GSM

Ein automatischer „Fall-Back to Circuit Switched“  (beziehungsweise „Fall-Back to GSM“) ist für UTMS und LTE vorgesehen. 

Hand-Over

Die sich durch die geforderte Abwärtskompatibilität ergebenden Kombinationen von Hand-Over Prozeduren zwischen den unterschiedlichen Architekturen 2G bis 4G in den jeweiligen Ausbaustufen wirken sich kontraproduktiv auf die Sicherheit von UMTS

UMTS Integritätsschutz

Veränderungen an den Daten werden vom Empfänger nicht erkannt, wenn der Integritätsschutz deaktiviert ist.

Keine Warnung bei unverschlüsselter 2G Verbindung

Fehlende Warnung (Cipher Indicator) auf dem Display, wenn unverschlüsselt Telefoniert wird. Das Sicherheitsrisiko, dass unter AV-A02 (Fehlende Auth. der Basisstation) beschrieben ist, könnte durch einen Cipher Indicator wie er laut

Verschlüsselung A5 (cs)

Verschlüsselung der Sprachverbindung (A5/1, A5/2 oder A5/3, circuit switched /cs) zwischen Smartphone und BTS (Basisstation).

MITM bei Femto-Zellen

Eine Femto-Zelle ist eine NodeB (UMTS), die für den privaten sowie auch geschäftlichen Einsatz an den Endkunden abgegeben werden. Diese Funkzelle wird an einem Internetzugang betrieben und stellt für jeden

Störfunk/Jammer

Durch das Stören der UMTS-Frequenzbänder wir der wechsel auf GSM Standard erzwungen. (Teilfunktion bei Semi-Aktiven Abhöranlagen) Es ist aber auch ein kompletter „Denial of Service“ aller Funkverbindungen möglich.