常用的客户端-服务器网络协议RADIUS存在一个缺陷，近期受到媒体和网络安全专家的广泛关注。该缺陷由高校和科技行业的研究人员共同发现，其通用漏洞评分系统（CVSS）评分为9分，属于严重漏洞（CVE-2024-3596和VU#456537）。自20世纪90年代末以来部署的大多数路由器、交换机和VPN接入点都支持RADIUS协议，因此，攻击者可能利用RADIUS客户端与服务器之间的中间人（MITM）攻击绕过用户身份验证，进而访问任何依赖RADIUS协议的设备、网络或互联网服务。
该漏洞的原理是什么？
根据美国国家标准与技术研究院（NIST）的国家漏洞数据库（NVD）所述，RFC 2865 规定的RADIUS协议“容易受到本地攻击者的伪造攻击。攻击者可针对MD5响应验证器签名实施选择前缀碰撞攻击，将任何有效响应（Access-Accept、Access-Reject或Access-Challenge）修改为任意其他响应。”
在这种情况下，攻击者无需采用凭据填充等暴力攻击，即可提升对网络设备和服务的访问权限。Blast-RADIUS网站由发现该漏洞的大学研究人员和大型科技公司创建，其中提供了有关该漏洞及缓解方法的大量信息，以及一些有价值的问答。
简而言之，在此威胁模型中，攻击者需要先获得网络访问权限，然后在RADIUS客户端与RADIUS服务器之间实施“中间人”攻击，从而能够读取、拦截、修改或阻止入站和出站数据包。如果使用代理，攻击可能发生在任意两跳之间。
谁会受到影响？
任何部署了RADIUS，但未通过用户数据报协议（UDP）使用可扩展身份验证协议（EAP）的组织都存在漏洞风险，应立即升级其RADIUS服务器。EAP是网络连接中常用的身份验证框架（请参阅IETF Datatracker上的RFC 3748：可扩展身份验证协议摘要）。研究人员表示，Blast-RADIUS似乎不会影响仅执行EAP身份验证的RADIUS服务器（但仍建议升级所有相关系统）。
应该怎么做？
以下是您现在及今后可以采取的网络保护措施：
- 正如Blast-RADIUS网站所述，首要任务是立即升级RADIUS服务器，然后尽可能升级客户端。务必通过“message-authenticator”属性为RADIUS数据包启用加密签名，并将其用于每个请求和响应（即Access-Accept、Access-Reject或Access-Challenge）。
- 从长远来看，网络安全专家目前建议将RADIUS置于经过加密和身份验证的通道中。
- 鉴于许多攻击者依靠隐藏在加密流量中的恶意软件入侵网络，因此还必须全面洞察SSL/TLS流量。如果您熟悉F5 BIG-IP SSL Orchestrator，就会知道该解决方案有助于发现隐藏在加密流量中的恶意流量，防止攻击者入侵您的环境或在其中横向移动。
需要快速回顾一下RADIUS吗？
RADIUS网络协议是业界公认的标准，通过身份验证、授权和计费（AAA）来控制网络访问。自20世纪90年代开发以来，RADIUS协议几乎支持此后部署的所有交换机、路由器、接入控制点或VPN中心。
自RADIUS问世以来，威胁形势发生了巨大变化，因此可以说，它在设计之初并未考虑当今的网络安全威胁手段。但我们知道，漏洞不可避免。应对的关键在于迅速行动：一旦条件允许，立即安装补丁并升级。采用分层安全方法对于在攻击者得手时尽量降低影响也至关重要。无论是Blast-RADIUS，还是下一个引发广泛关注的漏洞，在网络中的每个关键节点部署防护措施，都有助于阻止攻击者横向移动、遏制其攻击活动，并尽量减少损害。
关于作者
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。