Die Studie trägt den Titel „Verstehen impliziter Vertrauensfehler in Kernnetzen von Mobilfunkanbietern durch Multi-Agenten-gestützte Fehlersuche und Analyse“. Darin beschreiben die Forscher ein wiederkehrendes Muster blinden Vertrauens zwischen Komponenten des Kernnetzes. Werden solche internen Schnittstellen über das Internet erreichbar, könne ein externer Akteur diese Schwächen für bösartige Aktivitäten wie Denial-of-Service oder Sitzungsübernahmen ausnutzen. Die Autoren bezeichnen diese Fehlerklasse als „implicit trust errors“ oder kurz iTrue.
Um solche iTrue-Fehler aufzuspüren, entwickelten die Forscher ein von großen Sprachmodellen unterstütztes Multi-Agenten-System namens iFinder. Das System fasst bekannte Schwachstellen zusammen, ordnet sie Erkennungsmustern zu und nutzt diese als Grundlage, um neue iTrue-Fehler in Kernnetz-Implementierungen zu finden. Anschließend werden Halluzinationen und Fehlalarme laut Studie mit einer „neuartigen Technik zum Abgleich von Code und Spezifikation“ ausgesiebt. Danach erzeugt ein LLM-gestützter Ansatz Proof-of-Concept-Exploits für potenzielle iTrues und verfeinert diese schrittweise, indem sie gegen Kernnetz-Implementierungen ausgeführt und die Ergebnisse analysiert werden.
Zu den identifizierten Problemen zählen laut Studie unzureichende Prüfungen von Nachrichtenformat, Nachrichtensemantik und Ressourcenverfügbarkeit. Komponenten des Kernnetzes würden empfangene Nachrichten interner Gegenstellen teils ungeprüft verarbeiten. Für die Bereinigung von Fehlalarmen wird ein iTrue-Kandidat nach Angaben der Forscher dem jeweiligen Protokollablauf zugeordnet und geprüft, ob die notwendigen Validierungs- und Ressourcenprüfungen im Code tatsächlich umgesetzt sind.
Beim Einsatz des Systems gegen die sieben genannten Open-Source-Implementierungen für 4G- und 5G-Kernnetze fanden die Forscher 84 zuvor unbekannte Schwachstellen. Davon seien 83 bereits bestätigt, 81 hätten schon CVE-Kennungen erhalten. Ein Teil der iTrue-Fehler in 5G-Systemen sei aus 4G-Vorgängern übernommen worden. Das deute darauf hin, dass Sicherheitsrisiken über Technologiegenerationen hinweg weitergereicht werden können und dass die unzureichende Anpassung älterer Technik an moderne Bereitstellungen neue Probleme schafft.
Voraussetzung für erfolgreiche Angriffe über diese iTrue-Schwachstellen ist laut Studie, dass ein Angreifer die IP-Adressen von Kernnetzkomponenten ermitteln kann, etwa aus öffentlicher Dokumentation, durch passive Erfassung oder aktives Scannen. Hinzukommen müsse Zugriff auf interne Kernnetzschnittstellen sowie die Möglichkeit, beliebige PFCP- und GTP-C-Nachrichten zu senden, indem Fehlkonfigurationen in Cloud-Deployments ausgenutzt werden. Der Angreifer könne dabei entweder aus der Ferne agieren oder als bösartiges User Equipment auftreten, das sorgfältig präparierte Nutzdaten in den Uplink-Datenstrom einschleust.
Die Forscher beschreiben, dass ein Angreifer durch Protokoll-Tunneling und das Überbrücken von Netzgrenzen präparierte PFCP- oder GTP-C-Nachrichten in GTP-U-Nachrichten verstecken kann. Fehlt eine strikte Durchsetzung der Netzgrenzen, könnten diese die Grenze passieren und von Kernnetzkomponenten zugestellt und verarbeitet werden.
Als hypothetisches Beispiel für einen DoS-Angriff gegen Open5GS LTE nennen die Autoren GTPv2-C-Nachrichten, die beim Parsen von GTPv2-C-Create-Session-Request-Nachrichten eine Schwachstelle auslösen und die Serving Gateway Control Plane (SGW-C) zum Absturz bringen. Für die Sitzungsübernahme verweisen sie auf eine Schwachstelle, mit der ein Angreifer einen PFCP Session Modification Request einschleusen kann, sodass die User Plane Function (UPF) den Uplink-Verkehr des betroffenen User Equipment an den Angreifer weiterleitet.
Diese Schwachstelle zur Sitzungsübernahme wurde laut Studie in zwei realen kommerziellen 5G-Kernnetzen entdeckt. Der Anbieter Dotouch hat den Fehler in XproUPF inzwischen behoben; die zugehörige Kennung lautet CVE-2026-8233, der CVSS-Wert 4,6. Ein zweiter kommerzieller 5GC-Anbieter, den die Studie als großen, aber namentlich nicht genannten 5G-Carrier bezeichnet, arbeitet noch an der Behebung. Studienautor Ziyu Lin erklärte gegenüber The Hacker News, die ständig wachsende Zahl der Schwachstellen zeige, dass es sich nicht um einige isolierte Implementierungsfehler handle, sondern um ein breiteres und anhaltendes Sicherheitsproblem, das von Herstellern und Netzbetreibern dringend beachtet werden müsse.