Autorisation incorrecte dans github.com/free5gc/nef (CVE-2026-44330)
Résumé
Vulnérabilité dans github.com/free5gc/nef (CVE-2026-44330). Les données peuvent être altérées par des attaquants. Exploitable via GET /applications.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
free5GC's NEF mounts the nnef-pfdmanagement route group without inbound OAuth2/bearer-token authorization. A network attacker who can reach NEF on the SBI can use a forged or arbitrary bearer token (e.g. Authorization: Bearer not-a-real-token) to read PFD application data via GET /applications and GET /applications/{appID}, and to create or delete PFD change-notification subscriptions via POST /subscriptions and DELETE /subscriptions/{subID}. Same root cause as the other NEF SBI findings: the route group is mounted without any inbound auth middleware. Unlike the OAM and traffic-influence groups, nnef-pfdmanagement IS declared in the runtime ServiceList, so this is the production-intended path that operators expect to be protected by OAuth2 setting receive from NRF: true -- and it is not.
Details
Validated against the NEF container in the official Docker compose lab.
- Source repo tag:
v4.2.1 - Running Docker image:
free5gc/nef:v4.2.0 - Runtime NEF commit:
5ce35eab - Docker validation date: 2026-03-11
NEF advertises OAuth2 setting receive from NRF: true, but the entire nnef-pfdmanagement route group is mounted with no inbound auth middleware, so forged-token requests reach the read and subscription handlers and execute against UDR-backed state.
Code evidence (paths in free5gc/nef):
- Route group mounted without auth middleware:
NFs/nef/internal/sbi/server.go:56 - Read routes exposed at
/applicationsand `/applications/:appID…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-44330 a été découverte dans github.com/free5gc/nef.
Des attaquants peuvent cibler un point d'entrée spécifique comme GET /applications à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 10.0/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « github.com/free5gc/nef CVE-2026-44330 » sur le site de l'éditeur.
CVE-2026-44330 (github.com/free5gc/nef) — CWE-863 / CVSS v3 10.0
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : GET /applications / GET /applications/{appID} / POST /subscriptions / DELETE /subscriptions/{subID}
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une autorisation incorrecte (CWE-863) affecte github.com/free5gc/nef. Les attaquants atteignent le code vulnérable via GET /applications sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de github.com/free5gc/nef. Surface d'attaque : GET /applications / GET /applications/{appID} / POST /subscriptions / DELETE /subscriptions/{subID}.
Gravité : Critique (CVSS 10.0/10). Les données peuvent être altérées par des attaquants.
Mettre à jour vers la version corrigée selon l'avis éditeur.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs webserver/proxy/WAF des requêtes anormales vers GET /applications (en-têtes d'auth malformés, méta-caractères SQL). Auditez les fichiers de dépendances pour trouver github.com/free5gc/nef.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'github.com/free5gc/nef' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
github.com/free5gc/nefを grep し、稼働しているサービス・バージョンを把握する。 -
2Hunt for indicators of compromise detect
grep 'GET /applications' /var/log/nginx/access.log | grep -E '(unusual_payload|sqli_pattern)'アクセスログで
GET /applicationsへの異常なリクエスト (不正な認証ヘッダ・SQLメタ文字)を過去 30〜90日分捜索。WAF/SIEM があれば該当パスのアラート発火履歴を確認。 -
3Post-deployment verification verify
Replay attack against GET /applications on staging to confirm patch closes the vectorパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 2 と同じログクエリでアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- exploit github.com
- package github.com
- web github.com
- web github.com