Un fallo en el conocido protocolo de red cliente-servidor RADIUS ha recibido recientemente una gran atención mediática y una amplia cobertura por parte de expertos en ciberseguridad. Descubierto por investigadores de universidades y empresas del sector tecnológico, este fallo obtuvo una puntuación de 9 en el Sistema Común de Puntuación de Vulnerabilidades (CVSS), lo que lo sitúa en la categoría de vulnerabilidad crítica (CVE-2024-3596 y VU#456537). Dado que el protocolo RADIUS es compatible con la mayoría de los routers, conmutadores y puntos de acceso VPN instalados desde finales de la década de 1990, este fallo abre de par en par la puerta a que los atacantes eludan la autenticación de usuarios mediante un ataque de intermediario (MITM) entre el cliente y el servidor RADIUS. De este modo, los atacantes podrían acceder a cualquier dispositivo, red o servicio de Internet que dependa del protocolo RADIUS.
¿Cómo funciona la vulnerabilidad?
Según la Base de Datos Nacional de Vulnerabilidades (NVD) del Instituto Nacional de Estándares y Tecnología (NIST), el protocolo RADIUS «conforme a la RFC 2865 es susceptible a ataques de falsificación por parte de un atacante local que puede modificar cualquier respuesta válida (Access-Accept, Access-Reject o Access-Challenge) y convertirla en cualquier otra respuesta mediante un ataque de colisión de prefijo elegido contra la firma MD5 del autenticador de respuesta».
En este escenario, los atacantes pueden elevar sus privilegios para acceder a dispositivos y servicios de red sin recurrir a ataques de fuerza bruta como el relleno de credenciales. Los investigadores universitarios y las grandes empresas tecnológicas que descubrieron el fallo crearon un sitio web de Blast-RADIUS que incluye información exhaustiva sobre la vulnerabilidad y los métodos para mitigarla, además de algunas preguntas y respuestas de gran utilidad.
En resumen, el modelo de amenazas requiere que un atacante haya obtenido acceso a la red y actúe como «intermediario» entre el cliente RADIUS y el servidor RADIUS, lo que le permite leer, interceptar, modificar o bloquear los paquetes entrantes y salientes. Si se utilizan proxies, el ataque podría producirse entre dos saltos cualesquiera.
¿A quién afecta?
Cualquier organización con una implementación de RADIUS que no utilice el Protocolo de autenticación extensible (EAP) sobre el protocolo de datagramas de usuario (UDP) es vulnerable y debe actualizar sus servidores RADIUS de inmediato. EAP es el marco de autenticación que se utiliza habitualmente en las conexiones de red (consulte el resumen de RFC 3748 - Protocolo de autenticación extensible de IETF Datatracker). Según los investigadores, Blast-RADIUS no parece afectar a los servidores RADIUS que solo realizan autenticación EAP (aunque sigue siendo recomendable actualizarlo todo).
¿Qué debería hacer?
Estos son los pasos que puede seguir ahora y en adelante para proteger su red:
- Como se indica en el sitio web de Blast-RADIUS, lo primero y más importante es actualizar de inmediato los servidores RADIUS y, a continuación, los clientes siempre que sea posible. Asegúrese de habilitar las firmas criptográficas de los paquetes RADIUS mediante el atributo «message-authenticator» para cada solicitud y respuesta (es decir, Access-Accept, Access-Reject o Access-Challenge).
- A largo plazo, contar con RADIUS dentro de un canal cifrado y autenticado es la recomendación actual de los expertos en ciberseguridad.
- Dado que muchos atacantes recurren a malware oculto en el tráfico cifrado para vulnerar una red, también es fundamental tener visibilidad de todo el tráfico SSL/TLS. Si conoce F5 BIG-IP SSL Orchestrator, esta solución es esencial para detectar el tráfico malicioso oculto tras el cifrado y evitar que los atacantes vulneren su entorno o se desplacen lateralmente por él.
¿Necesitas refrescar un poco tus conocimientos sobre RADIUS?
El protocolo de red RADIUS es un estándar reconocido en el sector para controlar el acceso a las redes mediante autenticación, autorización y contabilidad (AAA). Los protocolos RADIUS son compatibles con prácticamente todos los conmutadores, routers, puntos de control de acceso o concentradores VPN implementados desde su desarrollo en la década de 1990.
Es justo decir que RADIUS no se diseñó teniendo en cuenta las tácticas actuales de las ciberamenazas, dado que el panorama de amenazas ha cambiado exponencialmente desde su aparición. Pero sabemos que las vulnerabilidades son inevitables. La mejor respuesta es actuar con rapidez: aplique siempre los parches y las actualizaciones en cuanto le sea posible. Adoptar un enfoque de seguridad por capas también es fundamental para minimizar el impacto en caso de que un atacante tenga éxito. Ya se trate de Blast-RADIUS o de la próxima vulnerabilidad que acapare los titulares, contar con medidas de protección en cada punto clave de la red es esencial para impedir el movimiento lateral de un atacante, contener sus acciones y minimizar cualquier daño.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.