La vulnérabilité Blast-RADIUS nécessite une action immédiate

Erin VernaResponsable principal senior du marketing produit | F5

Une faille affectant RADIUS, un protocole réseau client-serveur courant, a récemment fait couler beaucoup d’encre et suscité une forte attention de la part des experts en cybersécurité. Découverte par des chercheurs issus d’universités et d’entreprises du secteur technologique, cette faille a obtenu un score de 9 selon le Common Vulnerability Scoring System (CVSS), ce qui la classe parmi les vulnérabilités critiques (CVE-2024-3596 et VU#456537). Le protocole RADIUS étant pris en charge par la plupart des routeurs, commutateurs et points d’accès VPN déployés depuis la fin des années 1990, cette faille permet aux attaquants de contourner l’authentification des utilisateurs au moyen d’une attaque de l’homme du milieu (MITM) entre le client et le serveur RADIUS. Les attaquants pourraient alors accéder à tout appareil, réseau ou service Internet reposant sur le protocole RADIUS.

Comment fonctionne cette vulnérabilité ?

Selon la National Vulnerability Database (NVD) du National Institute of Standards and Technology (NIST), le protocole RADIUS « conforme à la RFC 2865 est vulnérable aux attaques par falsification menées par un attaquant local capable de transformer toute réponse valide (Access-Accept, Access-Reject ou Access-Challenge) en n’importe quelle autre réponse au moyen d’une attaque par collision à préfixe choisi contre la signature MD5 de l’authentificateur de réponse. »

Dans ce scénario, les attaquants peuvent élever leurs privilèges sur les périphériques et services réseau sans recourir à des attaques par force brute telles que le bourrage d’identifiants. Un site consacré à Blast-RADIUS a été créé par les chercheurs universitaires et les géants de la technologie qui ont découvert la faille. Il contient de nombreuses informations sur la vulnérabilité et les méthodes permettant de l’atténuer, ainsi qu’une précieuse foire aux questions.

En résumé, le modèle de menace suppose qu’un attaquant ait obtenu un accès au réseau, puis agisse comme un « homme du milieu » entre le client RADIUS et le serveur RADIUS, ce qui lui permet de lire, d’intercepter, de modifier ou de bloquer les paquets entrants et sortants. Si des proxys sont utilisés, l’attaque peut se produire entre n’importe quels sauts.

Qui est concerné ?

Toute organisation disposant d’une implémentation RADIUS qui n’utilise pas le protocole EAP (Extensible Authentication Protocol) sur le protocole UDP (User Datagram Protocol) est vulnérable et doit mettre à niveau ses serveurs RADIUS sans attendre. EAP est le cadre d’authentification fréquemment utilisé pour les connexions réseau (voir le résumé de la RFC 3748 - Extensible Authentication Protocol publié sur IETF Datatracker). Selon les chercheurs, Blast-RADIUS ne semble pas affecter les serveurs RADIUS qui utilisent uniquement l’authentification EAP (bien qu’il soit tout de même conseillé de tout mettre à niveau).

Que devez-vous faire ?

Voici les mesures que vous pouvez prendre dès maintenant et à l’avenir pour protéger votre réseau :

1. Comme indiqué sur le site Blast-RADIUS, vous devez avant toute chose mettre immédiatement à niveau les serveurs RADIUS, puis les clients dans la mesure du possible. Veillez à activer les signatures cryptographiques des paquets RADIUS au moyen de l’attribut « message-authenticator » pour chaque requête et chaque réponse (c’est-à-dire Access-Accept, Access-Reject ou Access-Challenge).
2. À plus long terme, l’utilisation de RADIUS au sein d’un canal chiffré et authentifié est actuellement recommandée par les experts en cybersécurité.
3. Étant donné que de nombreux attaquants s’appuient sur des logiciels malveillants dissimulés dans le trafic chiffré pour s’introduire dans un réseau, il est également essentiel de disposer d’une visibilité globale sur votre trafic SSL/TLS. Si vous connaissez F5 BIG-IP SSL Orchestrator, cette solution joue un rôle déterminant dans la détection du trafic malveillant dissimulé derrière le chiffrement, afin d’empêcher les attaquants de s’introduire dans votre environnement ou de s’y déplacer latéralement.

Besoin de vous rafraîchir un peu la mémoire sur RADIUS ?

Le protocole réseau RADIUS est une norme reconnue par le secteur pour contrôler l’accès aux réseaux au moyen de l’authentification, de l’autorisation et de la traçabilité (AAA). Les protocoles RADIUS sont pris en charge par la quasi-totalité des commutateurs, routeurs, points de contrôle d’accès et concentrateurs VPN déployés depuis leur création dans les années 1990.

Il faut bien reconnaître que RADIUS n’a pas été conçu en tenant compte des tactiques actuelles en matière de cybermenaces, compte tenu de l’évolution exponentielle du paysage des menaces depuis son lancement. Mais nous savons que les vulnérabilités sont inévitables. La meilleure réponse consiste à agir rapidement : appliquez toujours les correctifs et effectuez les mises à niveau dès que possible. Il est également essentiel d’adopter une approche de sécurité multicouche afin de limiter les conséquences en cas d’attaque réussie. Qu’il s’agisse de Blast-RADIUS ou de la prochaine vulnérabilité qui fera les gros titres, la mise en place de protections à chaque point stratégique de votre réseau est indispensable pour empêcher le déplacement latéral d’un attaquant, contenir ses actions et limiter les dégâts.

À propos de l’auteur

Erin VernaResponsable principal senior du marketing produit | F5

Autres articles de Erin Verna