Open5GS の SBI マルチパート解析が空の境界文字列でヒープ範囲外書き込み、認証前にクラッシュ（CVE-2026-116543、CVSS v4.0 8.7）: リリース版の修正は未確認

NVD は 2026-10-26 に、オープンソースの 4G／5G コアネットワーク実装「Open5GS」の脆弱性 CVE-2026-116543 を登録しました。NVD の説明では、影響版は 1.3.0 から 2.8.0 までです。SBI（サービスベースインターフェース）のマルチパート解析 parse_multipart() が、空の境界文字列（boundary）を拒否しないまま解析器を初期化し、ヒープ上の lookbehind バッファの外へ書き込みます。認証なしの相手が、SBI に到達できるネットワーク機能（NF）へ細工した multipart/related のリクエストを 1 回送るだけで、その NF をクラッシュさせられます。開発元の勧告は、影響を DoS のみと評価し、コード実行は実証も主張もしていません。リリース版として最新の v2.8.0 に修正は入っておらず、修正コミットは main ブランチにあります。

何が起きるか

• 対象は Open5GS の各 NF のうち SBI のリクエストを解析するものです。SBI 側のリクエストは、アクセストークンの確認より前に解析処理を通るため、認証前に到達します。
• 境界文字列の長さが 0 のとき、解析器の終了条件（index が boundary_length に達する）が成り立たず、index が増え続けます。その結果、lookbehind 用のヒープ領域を越えて書き込みが進みます（lib/sbi/contrib/multipart_parser.c の 260 行付近）。
• 勧告によれば、本文が改行 2 つ（CRLFCRLF）の形の約 30 バイトのリクエストで空の境界になり、公式コンテナイメージ open5gs:2.8.0 の既定設定で NF が SIGSEGV で落ちると記されています。通常の JSON 本文や正しい形式のマルチパート本文では落ちません。
• 勧告は「インターネットに公開された認証なしの問題」ではないとしています。SEPP の N32（事業者間）は、クライアント証明書の検証を伴う HTTPS であり、影響を受けるのはコアの SBI ネットワーク上の相手だとされています。
• 勧告は、書き込みが固定の周期的なパターンで、メモリ管理の保護もあるため、コード実行は実証しておらず主張しないとしています。同じ解析器には、別の事前認証クラッシュ（assert による中断）を扱う公開 issue もあるとされています。

評価の状況

• NVD の状態は Deferred で、NVD 自身の CVSS はまだありません。NVD に載っている指標は VulnCheck（Secondary）の CVSS v4.0 8.7（AV:N／AC:L／AT:N／PR:N／UI:N／VA:H）で、機密性・完全性への影響はなく、可用性のみ「高」です。CWE は CWE-787（範囲外書き込み）です。
• GitHub のセキュリティ勧告は CVSS v3.1 の 7.5（AV:N／AC:L／PR:N／UI:N／C:N／I:N／A:H）、重大度 high としています。
• EPSS は 0.0039（約 0.4%、パーセンタイル 32.8、11/1 付）です。CISA の KEV カタログ（2026.10.30 版）には載っていません。

修正の状況

• GitHub のリリース一覧で最新は v2.8.0（2026-06-20）で、修正より前のものです。勧告の patched_versions も「none」となっています。
• 修正コミット 6820c27（2026-09-25、「[SBI] Reject empty multipart boundaries」）は、空の境界文字列を拒否し、確保した境界の領域を解放して解析エラーを返す内容で、現在の main の祖先であることを GitHub の比較で確認しました。このため、main を取り込んだビルドには修正が入っていると推定されます。
• 修正を含むリリース版の公開は、11/2 時点で確認できていません。

対応として考えられること

1. 自組織で Open5GS を使っているか、使っている版が 2.8.0 以前（1.3.0 以降）に当たらないかを確認します。
2. SBI のポートを、信頼できるコアネットワークの機器以外から到達させないようにします。ネットワーク分離や、許可した相手だけに絞るファイアウォール設定が考えられます（推定）。
3. 修正を急ぐ場合は、コミット 6820c27 を含む main からビルドする、または同等の修正を自前で当てる方法があります。本番投入の前に検証環境で確認します（推定）。
4. NF がクラッシュした際に自動で再起動される構成か、監視で検知できるかを確認します（推定）。
5. 修正を含むリリース版が公開されたら更新し、更新後に版数を再確認します。

未確認の点

• 実際の攻撃での悪用は確認していません。KEV には未掲載です。
• コード実行に至るかは、開発元の評価（実証なし）以上のことは確認していません。
• 1.3.0 より前の版が影響を受けないか、また 4G 側の NF（SBI を使わないもの）への影響は確認していません。
• 修正を含むリリース版の予定、インターネットに公開されている該当機器の数、利用者の規模は確認していません。