4Gおよび5Gのコアネットワークに84件の脆弱性、シンガポール南洋理工大がLLMを活用して検出

要点

• シンガポールの南洋理工大学の研究グループが、4Gおよび5Gのオープンソース・コアネットワーク実装に計84件の脆弱性を発見したと発表した。
• 脆弱性の原因は機能間の「暗黙の信頼」にあり、悪用されると通信不能（DoS）状態に陥るほか、接続状態を乗っ取るセッションハイジャックが発生する恐れがある。
• 研究チームは、LLM（大規模言語モデル）を利用して脆弱性の自動検出や実証コードの生成を行うマルチエージェントシステム「iFinder」を開発し、調査を行った。
• 発見された脆弱性のうち83件が確認され、81件に対してすでにCVE識別子（脆弱性の世界共通の識別番号）が割り当てられている。
• 5Gの脆弱性の中には4Gシステムから引き継がれたものもあり、レガシーシステムからクラウドへの移行時に生じるセキュリティリスクが浮き彫りになった。

リード文

シンガポールの南洋理工大学（Nanyang Technological University）の研究グループが、4Gおよび5Gのモバイル通信の基幹システムである「コアネットワーク」において、計84件の新たなセキュリティ脆弱性を発見したとする論文を公開した。この論文は、「Understanding Implicit Trust Errors in Core Carrier Networks through Multi-Agent Flaw Discovery and Analysis」と題され、LTEおよび5Gの主要なオープンソース実装を対象とした調査結果を報告している。見つかった脆弱性が悪用された場合、サービス拒否（DoS）攻撃によって通信が麻痺するほか、ユーザーのネットワークセッションの制御を奪うセッションハイジャックが発生するリスクがあるという。

本文

今回の調査では、加入者管理や通信制御を担うコアネットワークのシグナリング（制御用信号）インターフェースが標的となった。具体的には、LTE（4G）の実装である「Open5GS」と「OpenAirInterface」、5Gの実装である「Open5GS」「free5GC」「OpenAirInterface」「SD-Core」「eUPF」の計7つのオープンソース実装が対象とされた。解析されたのは、制御信号をカプセル化する「GTP-C」と、パケット転送制御用の「PFCP」という2つの主要シグナリングプロトコルである。

研究チームは、これらの脆弱性に共通する根本原因として、コアネットワーク内のコンポーネントが互いを無条件に信じ合っている「暗黙の信頼エラー（iTrue）」を挙げている。かつてのコアネットワークは物理的なネットワーク隔離によって安全性が保たれていたが、クラウドネイティブ環境への移行によってこの信頼モデルが脆くなり、攻撃者が本来は内部のみで使われるインターフェースへ到達できる可能性が生じ、攻撃面が拡大しているという。

この課題を解決するため、研究チームはLLMを組み込んだ自律型システム「iFinder」を開発した。iFinderは、既知の欠陥情報を要約して検出パターンに分類した上で、新しい脆弱性を自動で探索する。コアネットワークの各コンポーネントがメッセージの形式や意味、リソースの空き状況の検証を怠り、対向のコンポーネントから受信したデータを盲目的に処理してしまう不備を検出する。

さらにiFinderは、ハルシネーション（もっともらしい誤情報）を防ぐため、「コードとプロトコルの仕様をクロスチェックする技術」を採用した。これは脆弱性候補がプロトコルの手順と適合しているか、コード上で適切な検証処理が実行されているかを突き合わせるものである。その後、LLMを用いて実際に攻撃が可能かを示すPoC（概念実証を行う検証プログラム）用のコードを自動で作成し、対象のシステムで実行と分析を繰り返してコードを改良する。

このシステムを用いて7つのオープンソース実装を検証したところ、未公表だった84件の脆弱性が発見された。このうち83件がすでに確認済みで、81件に対してはCVE IDが発行されている。また、5Gシステムにおける一部の脆弱性は、4Gの古い設計からそのまま引き継がれたものであることも判明した。これは、古いシステムをモダンな環境へ適応させる際に、新たなセキュリティ問題が生じることを示している。

なお、これらの脆弱性を突いた攻撃を成立させるには、いくつかの前提条件がある。攻撃者はあらかじめ公開ドキュメントやスキャン活動などからコアネットワーク機器のIPアドレスを特定する必要がある。その上で、クラウド環境における構成ミスを突き、通常はアクセスできない内部インターフェースへ接続して、プロトコル仕様に違反する任意のPFCPやGTP-Cメッセージを送信できる状態でなければならないと説明されている。