Vulnérabilité Blast-RADIUS

De quoi s'agit-il ?

Plus tôt cette année, un groupe d'experts RADIUS a identifié une vulnérabilité dans le protocole RADIUS. Des pirates peuvent exploiter cette vulnérabilité pour accéder à des réseaux protégés par des systèmes RADIUS.

Pour plus d'informations sur cette vulnérabilité, rendez-vous sur https://www.blastradius.fail/. Ce site contient également un document complet sur le contexte intitulé "RADIUS/UDP Considered Harmful".

La vulnérabilité est également documentée sous CVE-2024-3596:

Le protocole RADIUS défini par la RFC 2865 est susceptible à des attaques de falsification par un attaquant local qui peut modifier n'importe quelle Réponse valide (Access-Accept, Access-Reject ou Access-Challenge) en une autre réponse en utilisant une attaque de collision à préfixe choisi contre la signature MD5 Response Authenticator.

RADIUSaaS est-il affecté ?

RADIUSaaS n'est pas affecté par la vulnérabilité Blast-RADIUS.

RADIUSaaS ne prend en charge que les protocoles d'authentification basés sur EAP. Si EAP est correctement implémenté dans tous les composants de votre infrastructure, le mécanisme décrit dans cette vulnérabilité ne sera pas efficace.

Puisque RADIUSaaS n'est pas affecté, mon environnement entier est-il OK ?

Il est important que tous les composants de votre environnement disposent d'implémentations correctes. Nous vous recommandons de vérifier auprès du fournisseur de votre équipement réseau qu'il a mis à jour ses systèmes, si nécessaire.