Blast-RADIUSの脆弱性：今すぐ対処が必要

Erin Vernaシニア・プリンシパル・プロダクトマーケティングマネージャー | F5

一般的なクライアントサーバーネットワークプロトコルであるRADIUSの脆弱性が、最近、報道機関やサイバーセキュリティの専門家から大きな注目を集めています。大学やテクノロジー業界の研究者によって発見されたこの脆弱性は、共通脆弱性評価システム（CVSS）でスコア9と評価され、緊急レベルの脆弱性に分類されています（CVE-2024-3596およびVU#456537）。RADIUSプロトコルは、1990年代後半以降に導入されたルーター、スイッチ、VPNアクセスポイントの大半でサポートされているため、攻撃者はRADIUSクライアントとサーバー間で中間者（MITM）攻撃を仕掛け、ユーザー認証を回避できる可能性があります。その結果、RADIUSプロトコルに依存するあらゆるデバイス、ネットワーク、インターネットサービスにアクセスされるおそれがあります。

この脆弱性はどのように悪用されるのか？

米国国立標準技術研究所（NIST）の脆弱性データベース（NVD）によると、RFC 2865に基づくRADIUSプロトコルには、「ローカルの攻撃者がMD5 Response Authenticator署名に対する選択プレフィックス衝突攻撃を使用して、任意の有効な応答（Access-Accept、Access-Reject、またはAccess-Challenge）を別の任意の応答に改変できる偽造攻撃に対する脆弱性があります」。

このシナリオでは、攻撃者はクレデンシャルスタッフィングのような総当たり攻撃を行わずに、ネットワークデバイスやサービスに対する権限を昇格させることができます。この脆弱性を発見した大学の研究者と大手テクノロジー企業は、Blast-RADIUSサイトを開設しました。このサイトには、脆弱性と緩和策に関する詳細な情報に加え、有用なQ&Aも掲載されています。

簡単にまとめると、この脅威モデルでは、攻撃者がネットワークへのアクセス権を取得したうえで、RADIUSクライアントとRADIUSサーバーの間で「中間者」として振る舞い、送受信パケットの読み取り、傍受、改ざん、または停止を行えることが前提となります。プロキシが使用されている場合、任意のホップ間で攻撃が発生する可能性があります。

影響を受けるのは誰ですか？

RADIUSを実装している組織のうち、ユーザーデータグラムプロトコル（UDP）上で拡張認証プロトコル（EAP）を使用していない組織には脆弱性があるため、RADIUSサーバーを直ちにアップグレードする必要があります。EAPは、ネットワーク接続で広く使用されている認証フレームワークです（IETF Datatrackerの「RFC 3748 - Extensible Authentication Protocol」の概要を参照）。研究者によると、Blast-RADIUSはEAP認証のみを行うRADIUSサーバーには影響しないとみられます（ただし、すべてをアップグレードすることが引き続き推奨されます）。

どのように対処すべきか

ネットワークを保護するために、今すぐ、そして今後も実施できる対策は次のとおりです。

1. 「Blast-RADIUSサイト」に記載されているとおり、何よりもまずRADIUSサーバーを直ちにアップグレードし、可能な限りクライアントも続けてアップグレードしてください。必ず、「message-authenticator」属性を使用してRADIUSパケットの暗号署名を有効にし、すべてのリクエストとレスポンス（Access-Accept、Access-Reject、Access-Challengeなど）に適用してください。
2. 長期的には、暗号化および認証されたチャネル内でRADIUSを使用することが、サイバーセキュリティの専門家による現時点での推奨事項です。
3. 多くの攻撃者が、暗号化トラフィックに潜むマルウェアを利用してネットワークへの侵入を試みることを踏まえると、SSL/TLSトラフィック全体を可視化することも重要です。F5 BIG-IP SSL Orchestratorをご存じであれば、このソリューションが暗号化の背後に潜む悪意のあるトラフィックを検出し、環境への侵入や環境内での横展開を防ぐうえで重要な役割を果たすことがお分かりいただけるでしょう。

RADIUSについて簡単におさらいしましょう

RADIUSネットワークプロトコルは、認証、認可、アカウンティング（AAA）によってネットワークへのアクセスを制御する、業界で広く認められた標準です。RADIUSプロトコルは、1990年代に開発されて以降に導入された、ほぼすべてのスイッチ、ルーター、アクセスポイント、VPNハブに対応しています。

RADIUSの登場以降、脅威の状況が飛躍的に変化したことを考えると、現在のサイバーセキュリティ脅威の手口を想定して設計されたものではないと言えるでしょう。しかし、脆弱性は避けられません。最善の対応は迅速に行動することです。対応可能になり次第、必ずパッチを適用し、アップグレードしてください。また、攻撃が成功した場合の影響を最小限に抑えるには、多層的なセキュリティアプローチの採用も不可欠です。Blast-RADIUSであれ、次に大きく報じられる脆弱性であれ、ネットワーク内の各重要ポイントに保護対策を講じることは、攻撃者のラテラルムーブメントを阻止し、攻撃の拡大を封じ込め、被害を最小限に抑えるうえで重要です。

著者について

Erin Vernaシニア・プリンシパル・プロダクトマーケティングマネージャー | F5

Erin Vernaのその他のブログ記事