💻 computer science

MulCovFuzz: A Multi-Component Coverage-Guided Greybox Fuzzer for 5G Protocol Testing

Dit artikel introduceert MulCovFuzz, een nieuw greybox-fuzzingtool voor 5G-protocollen dat middels multi-component coverage-gidsing en een innovatieve scoring-functie aanzienlijk betere testresultaten en het ontdekken van nieuwe kwetsbaarheden bereikt dan traditionele methoden.

Oorspronkelijke auteurs: Yu Wang, Yang Xiang, Chandra Thapa, Hajime Suzuki

Gepubliceerd 2026-02-26

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Yu Wang, Yang Xiang, Chandra Thapa, Hajime Suzuki

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

🌐 Het Probleem: De 5G-Stad is te Groot om te Controleren

Stel je voor dat 5G-netwerken een enorme, hypermoderne stad zijn. Deze stad is niet gebouwd uit één groot gebouw, maar uit duizenden losse, slimme huizen (de verschillende onderdelen van het netwerk, zoals de AMF, SMF en UPF) die constant met elkaar praten via digitale straten.

Deze stad is zo complex dat als er één klein raam openstaat (een beveiligingslek), de hele stad in gevaar kan komen. Hackers kunnen dan binnenkomen, data stelen of de stroom uitdoen.

Hoe vinden we deze lekken?
Vroeger gebruikten beveiligingsexperts een methode die lijkt op het gooien van stenen tegen de gevels van deze huizen (dit noemen ze "Black-box fuzzing"). Ze gooien willekeurige stenen en kijken of er een raam breekt.

Het nadeel: Ze weten niet waar ze precies hebben geraakt. Misschien hebben ze een raam op de eerste verdieping geraakt, maar ze zien niet dat ze per ongeluk ook een sleutel in het slot van de achterdeur hebben gestoken. Ze missen dus de complexe lekken die ontstaan door de interactie tussen verschillende huizen.

🚀 De Oplossing: MulCovFuzz (De Slimme Agent)

De auteurs van dit paper hebben MulCovFuzz bedacht. Dit is geen simpele steenwerper, maar een slimme agent met een multicomponent-dekkingskaart.

Stel je voor dat MulCovFuzz een team van inspecteurs is die elk een eigen bril ophebben. Ze kijken niet alleen naar het huis waar ze de steen tegenaan gooien (het hoofdgebouw), maar ze hebben ook een directe lijn naar alle andere huizen in de stad.

Hoe werkt het? (De Analogie van de Orkestleider)

De Multi-Bril (Multi-Component Coverage):
Normaal kijkt een tester alleen naar het gebouw waar de test start. MulCovFuzz kijkt echter naar het hele orkest. Als een inspecteur een noot speelt (een testbericht stuurt), ziet hij niet alleen of de fluitist (het hoofdgebouw) reageert, maar ook of de trompettist (een ander onderdeel) per ongeluk een verkeerde noot speelt.
- In het paper: Het tooltje instrumenteert (plakt sensoren op) meerdere onderdelen van het 5G-netwerk tegelijk.
De Slimme Score (Scoring Function):
MulCovFuzz heeft een slim algoritme dat elke test een score geeft.
- Vergelijking: Stel je een speurtocht voor. Als je een sleutel vindt die alleen een deur opent in één kamer, krijg je 1 punt. Maar als je een sleutel vindt die een deur opent in de keuken, waardoor de kookplaat aangaat, en dat weer een signaal geeft aan de alarmcentrale in de garage, krijg je 100 punten.
- MulCovFuzz geeft meer tijd en energie aan die "100-punten sleutels". Zo zoekt het automatisch naar de ingewikkelde situaties waar verschillende onderdelen van het netwerk met elkaar praten.
De Snelle Boodschapper (Coverage Collection):
Omdat het netwerk zo groot is, mag het niet te lang duren voordat de inspecteurs elkaar hun bevindingen vertellen. MulCovFuzz gebruikt een supersnel systeem (via gedeeld geheugen en containers) om direct te weten: "Hey, in dit huis is er iets raars gebeurd, laten we daar nog eens goed naar kijken!"

🏆 Wat hebben ze ontdekt?

De onderzoekers hebben MulCovFuzz getest op een open-source 5G-netwerk (genaamd OpenAirInterface). Het resultaat was indrukwekkend:

Meer dekking: Ze vonden 5,85% meer code-paden die ze eerder niet zagen.
Meer crashes: Ze vonden 16% meer manieren waarop het systeem crashte (wat vaak wijst op een beveiligingslek).
Nieuwe lekken: Ze vonden 3 nieuwe, nog nooit bekende beveiligingslekken (zero-day vulnerabilities). Twee daarvan waren zo complex dat andere methodes ze helemaal niet hadden gevonden.

Een van deze lekken zat in een heel specifiek scenario waarbij een berichtje van de gebruiker (de telefoon) door het hele netwerk moest reizen en op een heel specifieke manier moest worden verwerkt door drie verschillende onderdelen tegelijk. Alleen MulCovFuzz kon die "drie-dimensionale" interactie vinden.

💡 Conclusie in één zin

MulCovFuzz is als een super-slimme detective die niet alleen kijkt naar wat er gebeurt in één kamer, maar die het hele huis (en de buren) in de gaten houdt om te zien hoe een klein foutje in de keuken een ramp kan veroorzaken in de slaapkamer. Hierdoor vinden ze veel sneller en dieper de beveiligingslekken in onze toekomstige 5G-netwerken.

Probleemstelling

Met de overgang naar 5G-netwerken is de beveiliging van kritieke infrastructuur van cruciaal belang. De architectuur van 5G is complex, gebaseerd op Service-Based Architecture (SBA), Network Function Virtualization (NFV) en cloud-native ontwerpen. Deze complexiteit creëert een groot aanvalsoppervlak.
De huidige veiligheidsaanpak voor 5G vertrouwt voornamelijk op black-box fuzzing of stateful fuzzing die alleen reageert op de output van het systeem onder test (SUT). Deze methoden hebben twee grote beperkingen:

Ze kunnen de interne programmastatus en codecoverage niet observeren.
Ze negeren de onderlinge afhankelijkheden tussen verschillende netwerkcomponenten (zoals AMF, SMF, NRF, UPF). In 5G zijn veel kritieke foutpaden alleen bereikbaar door specifieke interacties tussen meerdere componenten, wat traditionele fuzzers die zich op één component focussen, vaak missen.

Methodologie: MulCovFuzz

MulCovFuzz is een nieuw greybox fuzzer-framework dat specifiek is ontworpen voor 5G-protocollen. Het lost de bovengenoemde beperkingen op door een multi-component coverage-gestuurde aanpak te implementeren.

Kernarchitectuur:

Instrumentatie: MulCovFuzz instrumenteert meerdere 5G-componenten (AMF, SMF, UPF, NRF, NEF) met behulp van afl-clang-fast (LLVM-framework) om basisblokken en randen (edges) in de code te volgen.
Multi-Component Coverage Feedback: In plaats van alleen coverage van het SUT (meestal de AMF) te verzamelen, verzamelt het systeem coverage-data van alle betrokken componenten via gedeeld geheugen (SHM).
Multi-Coverage Collection Module (MCCM): Om de latentie van het verzamelen van data van verspreide componenten te minimaliseren, gebruikt MulCovFuzz een asynchroon mechanisme bestaande uit drie onderdelen:
- Controller: Coördineert verzoeken en aggregatie van data.
- Collector: Haalt coverage-data op uit de SHM van specifieke containers.
- Launcher: Beheert de runtime-omgeving en zorgt voor herstarten bij crashes.
Scoring Functie (Energie-toewijzing): De fuzzer gebruikt een nieuwe scoringfunctie om testseeds te prioriteren. De score $S(t)$ $S (t)$ is een gewogen som van:
1. Coverage Reward ( $R_c$ ): Meet de bijdrage aan codecoverage over alle instrumenteerde kanalen.
2. Efficiency Reward ( $R_e$ ): Neemt de uitvoeringstijd in overweging om resource-efficiëntie te waarborgen.
  Seeds met een hogere score (die nieuwe paden in meerdere componenten openen) krijgen meer "energie" (meer uitvoeringen).

Belangrijkste Bijdragen

Nieuwe Fuzzing Paradigma: Introductie van een greybox fuzzer die dynamisch aanpast op basis van codecoverage-informatie van meerdere componenten, in plaats van alleen te vertrouwen op systeemresponsen.
Multi-Component Coverage Mechanisme: Een innovatief systeem om coverage apart te berekenen voor verschillende 5G-componenten, waardoor de impact van een pakket op het totale systeem nauwkeuriger wordt geschat.
Geavanceerde Scoring Functie: Een algoritme dat testcases beoordeelt op basis van hun vermogen om complexe interacties tussen componenten te ontdekken, waardoor de exploratie van de state-space wordt geoptimaliseerd.
Implementatie en Validatie: Volledige implementatie en evaluatie op de open-source 5G-implementatie OpenAirInterface (OAI).

Resultaten

De tool is getest op een high-performance workstation met de OAI-AMF als doelwit. De resultaten tonen een significante verbetering ten opzichte van traditionele methoden (zoals AFLNet):

Coverage Verbetering:
- 5,85% toename in branch coverage.
- 7,17% toename in line coverage.
Crash Discovery:
- 16% meer unieke crashes ontdekt binnen een 24-uurs testperiode.
Vulnerability Discovery:
- MulCovFuzz ontdekte drie zero-day kwetsbaarheden.
- Twee van deze kwetsbaarheden werden door geen enkele andere fuzzingtechniek gevonden.
- Specifiek voorbeeld: Een Heap Buffer Overflow (vul-03) in de SUCI-decoder werd door MulCovFuzz gevonden in ~56.530 seconden, terwijl AFLNet deze in 24 uur niet kon triggeren. Een Null Pointer Dereference (vul-01) werd 10x sneller gevonden.
Interactie-analyse: De data toont aan dat het vinden van interessante paden in de AMF vaak leidt tot "cascade-effecten" en nieuwe paden in andere componenten (zoals NRF en SMF), wat de noodzaak van multi-component monitoring bevestigt.

Betekenis en Conclusie

MulCovFuzz markeert een belangrijke stap vooruit in de beveiliging van next-generation mobiele netwerken. Het paper demonstreert dat traditionele, op één component gerichte fuzzing onvoldoende is voor de complexe, gekoppelde architectuur van 5G.

Door het monitoren van de "ripple effects" van testinput over het hele netwerk, kan MulCovFuzz diepere, interactie-afhankelijke fouten vinden die anders onopgemerkt zouden blijven. Dit werk legt de basis voor robuustere testtools die essentieel zijn om de integriteit en veiligheid van 5G- en toekomstige 6G-netwerken te waarborgen, vooral gezien de toenemende afhankelijkheid van deze netwerken voor kritieke infrastructuur en IoT-toepassingen.