omec-project UPF（pfcpifaceコンポーネント、バージョン upf-epc-pfcpiface:2.1.3-dev）には、サービス拒否（DoS）の脆弱性が存在します。PFCPアソシエーションが確立された後、必須のF-SEID（CPF-SEID）情報要素が欠落しているPFCPセッション確立リクエストが適切に検証されません。セッション確立ハンドラーはnilポインターに対してIE.FSEID()を呼び出し、この結果、panicが発生してUPFプロセスが終了します。攻撃者がUPFのN4/PFCPエンドポイントへPFCPセッション確立リクエストメッセージを送信できる場合、UPFを繰り返しクラッシュさせてユーザープレーンサービスを妨害できます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。