Eine Schwachstelle im weitverbreiteten Client-Server-Netzwerkprotokoll RADIUS hat in letzter Zeit für großes Medienecho gesorgt und viel Aufmerksamkeit von Cybersicherheitsexperten erhalten. Die von Forschern an Universitäten und aus der Technologiebranche entdeckte Schwachstelle erhielt im Common Vulnerability Scoring System (CVSS) einen Wert von 9 und fällt damit in die Kategorie kritischer Schwachstellen (CVE-2024-3596 und VU#456537). Da das RADIUS-Protokoll von den meisten seit Ende der 1990er-Jahre eingesetzten Routern, Switches und VPN-Zugangspunkten unterstützt wird, eröffnet sie Angreifern weitreichende Möglichkeiten, die Benutzerauthentifizierung durch einen Man-in-the-Middle-Angriff (MITM) zwischen RADIUS-Client und -Server zu umgehen. Angreifer könnten sich dadurch Zugriff auf jedes Gerät, Netzwerk oder jeden Internetdienst verschaffen, das bzw. der auf dem RADIUS-Protokoll basiert.
Wie funktioniert die Sicherheitslücke?
Laut der National Vulnerability Database (NVD) des National Institute of Standards and Technology (NIST), ist das RADIUS-Protokoll „gemäß RFC 2865 anfällig für Fälschungsangriffe durch einen lokalen Angreifer, der mithilfe eines Chosen-Prefix-Kollisionsangriffs auf die MD5-Response-Authenticator-Signatur jede gültige Antwort (Access-Accept, Access-Reject oder Access-Challenge) in eine beliebige andere Antwort umwandeln kann.“
In diesem Szenario können Angreifer ihre Berechtigungen für Netzwerkgeräte und -dienste ausweiten, ohne auf Brute-Force-Angriffe wie Credential Stuffing zurückgreifen zu müssen. Eine Blast-RADIUS-Website wurde von den Universitätsforschern und großen Technologieunternehmen eingerichtet, die die Schwachstelle entdeckt haben. Sie enthält umfangreiche Informationen über die Schwachstelle und mögliche Abhilfemaßnahmen sowie einige hilfreiche Fragen und Antworten.
Kurz zusammengefasst setzt das Bedrohungsmodell voraus, dass sich ein Angreifer Zugang zum Netzwerk verschafft hat und anschließend als „Man-in-the-Middle“ zwischen dem RADIUS-Client und dem RADIUS-Server agiert. Dadurch kann er ein- und ausgehende Pakete lesen, abfangen, verändern oder blockieren. Werden Proxys verwendet, könnte der Angriff zwischen zwei beliebigen Stationen erfolgen.
Wer ist betroffen?
Jede Organisation mit einer RADIUS-Implementierung, die kein Extensible Authentication Protocol (EAP) über das User Datagram Protocol (UDP) verwendet, ist gefährdet und sollte ihre RADIUS-Server umgehend aktualisieren. EAP ist das häufig bei Netzwerkverbindungen verwendete Authentifizierungs-Framework (siehe die Zusammenfassung zu RFC 3748 – Extensible Authentication Protocol im IETF Datatracker). Forschenden zufolge scheint Blast-RADIUS keine Auswirkungen auf RADIUS-Server zu haben, die ausschließlich EAP-Authentifizierung durchführen (dennoch ist es ratsam, alle Systeme zu aktualisieren).
Was sollten Sie tun?
Hier sind einige Maßnahmen, die Sie jetzt und in Zukunft ergreifen können, um Ihr Netzwerk zu schützen:
- Wie auf der Blast-RADIUS-Website erläutert, sollten Sie zuallererst die RADIUS-Server unverzüglich aktualisieren und anschließend, wo immer möglich, auch die Clients. Stellen Sie sicher, dass Sie kryptografische Signaturen für die RADIUS-Pakete über das Attribut „message-authenticator“ aktivieren – und zwar für jede Anfrage und Antwort (d. h. Access-Accept, Access-Reject oder Access-Challenge).
- Langfristig empfehlen Cybersicherheitsexperten derzeit, RADIUS innerhalb eines verschlüsselten und authentifizierten Kanals zu betreiben.
- Da viele Angreifer auf Malware setzen, die sich im verschlüsselten Datenverkehr verbirgt, um in ein Netzwerk einzudringen, ist es außerdem entscheidend, einen umfassenden Einblick in Ihren SSL/TLS-Datenverkehr zu haben. Wenn Sie mit F5 BIG-IP SSL Orchestrator vertraut sind, wissen Sie, dass diese Lösung entscheidend dazu beiträgt, hinter Verschlüsselung verborgenen schädlichen Datenverkehr aufzuspüren und so zu verhindern, dass Angreifer in Ihre Umgebung eindringen oder sich darin lateral ausbreiten.
Brauchen Sie eine kurze Auffrischung zu RADIUS?
Das RADIUS-Netzwerkprotokoll ist ein branchenweit anerkannter Standard zur Steuerung des Netzwerkzugriffs durch Authentifizierung, Autorisierung und Abrechnung (AAA). RADIUS-Protokolle werden von nahezu allen Switches, Routern, Zugangspunkten und VPN-Hubs unterstützt, die seit ihrer Entwicklung in den 1990er-Jahren eingesetzt wurden.
Man kann mit Fug und Recht sagen, dass RADIUS nicht für die heutigen Taktiken von Cyberbedrohungen konzipiert wurde – schließlich hat sich die Bedrohungslandschaft seit seiner Einführung grundlegend verändert. Doch Schwachstellen sind unvermeidlich. Die beste Reaktion ist schnelles Handeln: Installieren Sie Patches und Upgrades stets, sobald es Ihnen möglich ist. Ein mehrschichtiger Sicherheitsansatz ist ebenfalls entscheidend, um die Auswirkungen eines erfolgreichen Angriffs zu minimieren. Ob Blast-RADIUS oder die nächste Schwachstelle, die Schlagzeilen machen wird: Schutzmaßnahmen an allen wichtigen Punkten Ihres Netzwerks tragen maßgeblich dazu bei, die laterale Bewegung eines Angreifers zu stoppen, seine Aktivitäten einzudämmen und mögliche Schäden zu minimieren.
Über den Autor
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...