南洋理工大学(Nanyang Technological University)の研究者たちが、4Gおよび5G携帯電話ネットワークを動かすソフトウェアにAIエージェント群を投入したところ、これまで報告されたことのない84件のセキュリティ脆弱性が見つかりました。
開発者側はこのうち83件を確認済みで、81件には既にCVE番号が付与されています。中でも最も深刻なのは、攻撃者が加入者のデータセッションを乗っ取り、本来インターネットへ届くはずのその加入者の通信をネットワークが攻撃者側へ配送してしまうという脆弱性です。
この乗っ取りが成立するのは、誤った前提が置かれているためです。携帯電話ネットワークの内部では、ある構成要素が加入者のデータをどこへ送るべきかを決定し、別の構成要素にその転送を指示します。これらの指示はネットワークコア全体が施錠された部屋に収まっていた時代に設計された内部リンクを経由してやり取りされるため、受け取る側は届いた内容をあまり検証せずに受け入れがちです。そうしたリンクにアクセスできる攻撃者は、実在の加入者に既に割り当てられている転送ルールのIDを再利用し、それを元のルールより優先度が高いものとして偽装した指示を送信します。IDが一意であるかどうかを確認する仕組みは存在しません。ネットワークは優先度順に処理し、攻撃者のルールを選択してしまい、被害者の発信トラフィックを攻撃者へ配送し始めるのです。
この攻撃はオープンソースであるOpenAirInterfaceの5Gコアに対してラボ環境で一連の流れとして実行され、成功しました。その後、2つの商用5Gコアネットワークでも検証され、うち1件はパートナーベンダーのラボ内でデフォルト設定のまま再現されています。一方のベンダーは既に問題を修正しており、CVE-2026-8233が割り当てられました。もう一方の大手5Gキャリアは、現在も対応を進めている段階です。
この件が単なるラボでの興味深い事例にとどまらない理由は、携帯電話ネットワークが今どこで稼働しているかにあります。通信事業者はコアネットワークをクラウド環境へ移行しつつあり、そこでの設定ミスが内部インターフェースをインターネットに公開してしまう可能性があるのです。研究者たちはさらに、もう1つの侵入経路も検証しました。有効なSIMを備えた普通の携帯電話を使い、自身のアップリンクトラフィックを運ぶデータトンネルの中にネットワーク制御メッセージを隠す手法です。この手口は、調査対象とした7つのオープンソースコアのうち5つに対して成功しました。
これらすべてを発見したツールはiFinderと呼ばれ、3つのAIエージェントを順に稼働させます。1つ目のエージェントはコードを読み込み、受信メッセージ由来のデータが検証されずに使用されている箇所を探します。2つ目のエージェントは3GPP標準文書を参照し、疑わしく見えるコード行が実は問題ないとされる最も一般的な理由である「該当のチェックが会話のより前段階で行われているかどうか」を確認します。3つ目のエージェントは実際に動作するエクスプロイトを作成し、テストネットワークに対して実行し、エラーログを読み取り、成功するか諦めるまでエクスプロイトを書き直し続けます。このパイプラインは魔法のようなものではなく、あくまで実用的なツールです。既知のバグ22件を対象としたテストでは15件を検出し、報告全体のおよそ4分の1は誤検知でした。
報告への対応にはばらつきが見られました。確認済みの83件の脆弱性のうち、58件は既にパッチが適用されています。7つのプロジェクトのうち3つはまったく修正を出しておらず、CVE番号が付与されていながらコードの変更が伴っていない確認済みの問題が23件残っています。
「この差は主に、メンテナーの対応の早さと開発リソースの違いを反映したものです。OAIは私たちの報告に応答していません。一方でeUPFは報告を認めたものの、修正は利用可能な開発リソース次第だとしています。Open5GS、SD-Core、free5GCは積極的に関与し、報告された問題に対応してくれました」と、この研究の共著者であるZiyu Lin氏はHelp Net Securityに語りました。
機械生成された報告がまとめて届けば、メンテナーとの関係が悪化しかねない場面もあり得ますが、今回は報告のまとめ方が功を奏しました。「加えて、報告するすべての発見事項は人手によるレビューと再現検証を経て、動作するPoC(概念実証)を添えた上で報告しました。これにより、メンテナーたちがこの報告群を、フィルタリングされていない機械生成の結果の羅列としてではなく、検証済みのセキュリティ報告のまとまりとして受け止めやすくなりました」とLin氏は述べています。
商用コアに対しては、より軽い検証にとどまりました。iFinderの動作にはソースコードが必要であるため、出荷済み製品には適用できません。そこで2つの商用ネットワークについては、オープンソース版に対して構築したエクスプロイトを再現する形でテストが行われました。そのうち3件のエクスプロイトが有効であることが確認され、内訳は両コアに共通するセッション乗っ取りと、片方のコアに存在するサービス拒否(DoS)関連のバグ2件で、後者のうち1件には独自のCVEが付与されています。「直接的な解析を行うには、ソースコード、ビルド環境、そして適切なテスト環境へのアクセスが必要になります」とLin氏は述べています。
これは、商用コアを運用するすべての事業者にとって未解決の疑問を残します。これらのベンダーは共通のオープンソースの系譜からこうした欠陥を引き継いだのか、それともたまたま3件の発見に行き着いただけなのか。「多くの商用5Gコアはオープンソースのスタックを組み込んだり、カスタマイズしたりしている可能性があります。free5GCとOAIのどちらにも下流の商用派生製品が存在するため、上流コードにおける検証の甘さが、同じ設計上の前提を引き継いだ製品にも伝播しかねません」とLin氏は語ります。「確認できた3件のケースは小さなサンプルにすぎず、私たちは商用コアを直接監査したわけでもないため、これは結論というよりも支持材料と呼ぶべきものです。この継承がどこまで及ぶのかを明らかにするには、他の商用コアについても直接的な解析が必要になるでしょう」
翻訳元: https://www.helpnetsecurity.com/2026/08/11/5g-core-network-vulnerabilities-research/
