PT-2026-21592 · Free5Gc · Free5Gc Udm

Alonza0314 · Publicado 2026-02-24 · Atualizado 2026-05-07 · CVE-2026-27642

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do free5gc UDM até e incluindo a 1.4.1

Descrição O free5gc UDM fornece Gerenciamento Unificado de Dados para o free5GC, um projeto de núcleo de rede móvel 5G de código aberto. Atacantes remotos podem injetar caracteres de controle, como %00, no parâmetro supi. Essa injeção desencadeia erros internos de análise de URL (net/url: invalid control character), potencialmente expondo detalhes de erros em nível de sistema e permitindo o fingerprinting de serviço. Todas as implantações do free5GC que utilizam o serviço UDM Nudm UEAU podem ser afetadas.

Recomendações Versões até e incluindo a 1.4.1: Aplique o patch oficial do pull request 75 do free5gc/udm.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2026-27642

GHSA-H4WG-RP7M-8XX4

Produtos afetados

Free5Gc Udm

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27642.json · Exploit
• https://github.com/free5gc/free5gc/security/advisories/GHSA-h4wg-rp7m-8xx4 · Aviso do Fabricante
• https://github.com/free5gc/free5gc/issues/749 · Aviso do Fabricante
• https://github.com/free5gc/udm/commit/a7af2321ddea6368c43835f90f6d1b9d67dd2ea1 · Correção
• https://github.com/free5gc/udm/pull/75 · Correção
• https://twitter.com/dailycve/status/2052258642619965600 · Publicação no Twitter
• https://twitter.com/cracbot/status/2028062757019660649 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-27642 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2026184661320519685 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2026197371256750583 · Publicação no Twitter
• https://twitter.com/cracbot/status/2027338144769847465 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-27642 · Nota de Segurança
• https://t.me/cveNotify/153190 · Publicação no Telegram
• https://twitter.com/cracbot/status/2027700444471169535 · Publicação no Twitter