PT-2025-21849 · O2 Uk · O2 Uk

Daniel Williams · Publicado 2025-05-18 · Atualizado 2025-05-19 · CVE-2025-48219

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.5

Baixa

Vetor base

AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas: O2 UK até 17/05/2025

Descrição: A falha permite que assinantes determinem o Cell ID de outros assinantes ao iniciar uma chamada IMS (IP Multimedia Subsystem) e então lerem o campo utran-cell-id-3gpp de um cabeçalho SIP "Cellular-Network-Info", o qual pode ser utilizado para identificar a localização de uma célula por meio de dados obtidos via crowdsourcing. Isso poderia potencialmente corresponder a uma pequena área física, como o centro de uma cidade. A remoção do cabeçalho "Cellular-Network-Info" é mencionada na seção 4.4.19 da ETSI TS 124 229.

Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Enumeração de Fraquezas

CWE-201

Identificadores relacionados

CVE-2025-48219

Produtos afetados

O2 Uk

Referências · 10

• https://twitter.com/OOVelma/status/1924427972632596725 · Publicação no Twitter
• https://ispreview.co.uk/index.php/2025/05/o2-uk-fixes-volte-flaw-that-exposed-user-mobile-location-data.html · Nota
• https://twitter.com/CVEnew/status/1924110863360770355 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1924131678840029271 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-48219 · Nota de Segurança
• https://t.me/cvetracker/24157 · Publicação no Telegram
• https://mastdatabase.co.uk/blog/2025/05/o2-expose-customer-location-call-4g · Nota
• https://t.me/cvenotify/122821 · Publicação no Telegram
• https://etsi.org/deliver/etsi_ts/124200_124299/124229/15.10.00_60/ts_124229v151000p.pdf · Nota
• https://news.ycombinator.com/item?id=44014046 · Nota