---
title: "Open5GS の SBI マルチパート解析が空の境界文字列でヒープ範囲外書き込み、認証前にクラッシュ（CVE-2026-116543、CVSS v4.0 8.7）: リリース版の修正は未確認"
url: https://n-t-p.io/worldsecurity/articles/open5gs-sbi-multipart-parser-empty-boundary-heap-out-of-bounds-write-dos-cve-2026-116543
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月2日
updated: 2026年11月2日
severity: 中
cve: CVE-2026-116543
---

# Open5GS の SBI マルチパート解析が空の境界文字列でヒープ範囲外書き込み、認証前にクラッシュ（CVE-2026-116543、CVSS v4.0 8.7）: リリース版の修正は未確認

> **TL;DR:** 4G／5G コアのオープンソース実装 Open5GS（1.3.0〜2.8.0）で、SBI のマルチパート解析が空の境界文字列を拒否せず、ヒープ範囲外書き込みで NF が認証前にクラッシュする（CVE-2026-116543）。開発元は DoS のみと評価。修正は main のコミットにあり、リリース版は未確認。CVSS v4.0 は 8.7（VulnCheck）、v3.1 は 7.5（GitHub）。EPSS 約 0.4%、KEV なし。

**要点**
- 空の boundary の multipart/related を 1 回送るだけで、SBI を持つ NF が SIGSEGV で落ちる。リクエスト解析はアクセストークン確認より前なので認証前に到達する
- 影響版は 1.3.0 から 2.8.0（NVD の説明）。NVD は Deferred で、NVD 自身の CVSS は未算出。VulnCheck の v4.0 は 8.7、GitHub の v3.1 は 7.5。CWE-787
- 開発元は影響を DoS のみと評価（コード実行は未実証）。到達できるのはコアの SBI ネットワーク上の相手で、インターネット公開の問題ではないとされる
- 修正コミット 6820c27 は main にある。最新リリースの v2.8.0（6/20）には含まれず、修正を含むリリース版は未確認。悪用は未確認、KEV なし、EPSS 約 0.4%
- SBI の到達範囲の制限、main からのビルド、再起動と監視の確認は推定

NVD は 2026-10-26 に、オープンソースの 4G／5G コアネットワーク実装「Open5GS」の脆弱性 CVE-2026-116543 を登録しました。NVD の説明では、影響版は 1.3.0 から 2.8.0 までです。SBI（サービスベースインターフェース）のマルチパート解析 parse_multipart() が、空の境界文字列（boundary）を拒否しないまま解析器を初期化し、ヒープ上の lookbehind バッファの外へ書き込みます。認証なしの相手が、SBI に到達できるネットワーク機能（NF）へ細工した multipart/related のリクエストを 1 回送るだけで、その NF をクラッシュさせられます。開発元の勧告は、影響を DoS のみと評価し、コード実行は実証も主張もしていません。リリース版として最新の v2.8.0 に修正は入っておらず、修正コミットは main ブランチにあります。

## 何が起きるか

- 対象は Open5GS の各 NF のうち SBI のリクエストを解析するものです。SBI 側のリクエストは、アクセストークンの確認より前に解析処理を通るため、認証前に到達します。
- 境界文字列の長さが 0 のとき、解析器の終了条件（index が boundary_length に達する）が成り立たず、index が増え続けます。その結果、lookbehind 用のヒープ領域を越えて書き込みが進みます（lib/sbi/contrib/multipart_parser.c の 260 行付近）。
- 勧告によれば、本文が改行 2 つ（CRLFCRLF）の形の約 30 バイトのリクエストで空の境界になり、公式コンテナイメージ open5gs:2.8.0 の既定設定で NF が SIGSEGV で落ちると記されています。通常の JSON 本文や正しい形式のマルチパート本文では落ちません。
- 勧告は「インターネットに公開された認証なしの問題」ではないとしています。SEPP の N32（事業者間）は、クライアント証明書の検証を伴う HTTPS であり、影響を受けるのはコアの SBI ネットワーク上の相手だとされています。
- 勧告は、書き込みが固定の周期的なパターンで、メモリ管理の保護もあるため、コード実行は実証しておらず主張しないとしています。同じ解析器には、別の事前認証クラッシュ（assert による中断）を扱う公開 issue もあるとされています。

## 評価の状況

- NVD の状態は Deferred で、NVD 自身の CVSS はまだありません。NVD に載っている指標は VulnCheck（Secondary）の CVSS v4.0 8.7（AV:N／AC:L／AT:N／PR:N／UI:N／VA:H）で、機密性・完全性への影響はなく、可用性のみ「高」です。CWE は CWE-787（範囲外書き込み）です。
- GitHub のセキュリティ勧告は CVSS v3.1 の 7.5（AV:N／AC:L／PR:N／UI:N／C:N／I:N／A:H）、重大度 high としています。
- EPSS は 0.0039（約 0.4%、パーセンタイル 32.8、11/1 付）です。CISA の KEV カタログ（2026.10.30 版）には載っていません。

## 修正の状況

- GitHub のリリース一覧で最新は v2.8.0（2026-06-20）で、修正より前のものです。勧告の patched_versions も「none」となっています。
- 修正コミット 6820c27（2026-09-25、「[SBI] Reject empty multipart boundaries」）は、空の境界文字列を拒否し、確保した境界の領域を解放して解析エラーを返す内容で、現在の main の祖先であることを GitHub の比較で確認しました。このため、main を取り込んだビルドには修正が入っていると推定されます。
- 修正を含むリリース版の公開は、11/2 時点で確認できていません。

## 対応として考えられること

1. 自組織で Open5GS を使っているか、使っている版が 2.8.0 以前（1.3.0 以降）に当たらないかを確認します。
2. SBI のポートを、信頼できるコアネットワークの機器以外から到達させないようにします。ネットワーク分離や、許可した相手だけに絞るファイアウォール設定が考えられます（推定）。
3. 修正を急ぐ場合は、コミット 6820c27 を含む main からビルドする、または同等の修正を自前で当てる方法があります。本番投入の前に検証環境で確認します（推定）。
4. NF がクラッシュした際に自動で再起動される構成か、監視で検知できるかを確認します（推定）。
5. 修正を含むリリース版が公開されたら更新し、更新後に版数を再確認します。

## 未確認の点

- 実際の攻撃での悪用は確認していません。KEV には未掲載です。
- コード実行に至るかは、開発元の評価（実証なし）以上のことは確認していません。
- 1.3.0 より前の版が影響を受けないか、また 4G 側の NF（SBI を使わないもの）への影響は確認していません。
- 修正を含むリリース版の予定、インターネットに公開されている該当機器の数、利用者の規模は確認していません。


## 出典
- [NVD CVE-2026-116543](https://nvd.nist.gov/vuln/detail/CVE-2026-116543) — NIST NVD
- [開発元 GitHub セキュリティ勧告 GHSA-25v2-v588-jq8g](https://github.com/open5gs/open5gs/security/advisories/GHSA-25v2-v588-jq8g) — GitHub
- [VulnCheck 勧告（Open5GS 1.3.0 through 2.8.0 Heap Out-of-Bounds Write via SBI Multipart Parser）](https://www.vulncheck.com/advisories/open5gs-1.3.0-through-2.8.0-heap-out-of-bounds-write-via-sbi-multipart-parser) — VulnCheck
- [開発元 修正コミット 6820c27](https://github.com/open5gs/open5gs/commit/6820c2743b5b5e126e3755d2f92dae2b236732df) — GitHub
- [開発元 GitHub リリース一覧](https://github.com/open5gs/open5gs/releases) — GitHub
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-116543) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/open5gs-sbi-multipart-parser-empty-boundary-heap-out-of-bounds-write-dos-cve-2026-116543