Blast-RADIUS 취약점에 지금 즉시 대응해야 합니다

Erin Verna수석 제품 마케팅 총괄 매니저 | F5

일반적인 클라이언트-서버 네트워킹 프로토콜인 RADIUS의 결함이 최근 언론과 사이버 보안 전문가들로부터 큰 주목을 받고 있습니다. 대학 및 기술 업계 연구진이 발견한 이 결함은 공통 취약점 평가 시스템(CVSS)에서 9점을 받아 심각한 취약점으로 분류되었습니다(CVE-2024-3596 및 VU#456537). RADIUS 프로토콜은 1990년대 후반 이후 구축된 대부분의 라우터, 스위치 및 VPN 액세스 포인트를 지원하므로, 공격자가 RADIUS 클라이언트와 서버 사이에서 중간자(MITM) 공격을 수행해 사용자 인증을 우회할 수 있는 길이 활짝 열리게 됩니다. 이후 공격자는 RADIUS 프로토콜에 의존하는 모든 장치, 네트워크 또는 인터넷 서비스에 접근할 수 있습니다.

이 취약점은 어떻게 작동하나요?

미국 국립표준기술연구소(NIST)의 국가 취약점 데이터베이스(NVD)에 따르면, RADIUS 프로토콜은 “RFC 2865에 따라, MD5 응답 인증자 서명에 대한 선택 접두사 충돌 공격을 이용해 유효한 응답(Access-Accept, Access-Reject 또는 Access-Challenge)을 다른 응답으로 변조할 수 있는 로컬 공격자의 위조 공격에 취약합니다.”

이 시나리오에서 공격자는 크리덴셜 스터핑과 같은 무차별 대입 공격을 사용하지 않고도 네트워크 장치와 서비스에 대한 권한을 상승시킬 수 있습니다. 이 취약점을 발견한 대학 연구진과 빅테크 기업들은 Blast-RADIUS 사이트를 개설했으며, 이 사이트에는 취약점과 완화 방법에 관한 광범위한 정보뿐만 아니라 유용한 질의응답도 포함되어 있습니다.

간단히 요약하면, 이 위협 모델에서는 공격자가 네트워크 접근 권한을 확보한 후 RADIUS 클라이언트와 RADIUS 서버 사이에서 ‘중간자’로 개입하여 인바운드 및 아웃바운드 패킷을 읽거나 가로채고, 수정하거나 차단할 수 있어야 합니다. 프록시를 사용하는 경우에는 어느 홉 사이에서든 공격이 발생할 수 있습니다.

누가 영향을 받나요?

사용자 데이터그램 프로토콜(UDP)을 통한 확장 가능 인증 프로토콜(EAP)을 사용하지 않는 RADIUS 구현을 보유한 모든 조직은 취약하므로 RADIUS 서버를 즉시 업그레이드해야 합니다. EAP는 네트워크 연결에서 자주 사용되는 인증 프레임워크입니다(IETF Datatracker의 RFC 3748 - 확장 가능 인증 프로토콜 요약 참조). 연구진에 따르면 Blast-RADIUS는 EAP 인증만 수행하는 RADIUS 서버에는 영향을 미치지 않는 것으로 보입니다(그래도 모든 서버를 업그레이드하는 것이 좋습니다).

어떻게 대응해야 할까요?

현재와 앞으로 네트워크를 보호하기 위해 취할 수 있는 조치는 다음과 같습니다:

1. As noted on the Blast-RADIUS 사이트에서 언급했듯이, 무엇보다 먼저 RADIUS 서버를 즉시 업그레이드한 다음 가능한 경우 클라이언트도 업그레이드해야 합니다. 모든 요청과 응답(즉, Access-Accept, Access-Reject 또는 Access-Challenge)에 대해 “message-authenticator” 속성을 통해 RADIUS 패킷의 암호화 서명을 활성화해야 합니다.
2. 장기적으로는 RADIUS를 암호화되고 인증된 채널 내에서 운영하는 것이 현재 사이버 보안 전문가들이 권고하는 방식입니다.
3. 많은 공격자가 암호화된 트래픽에 숨어 있는 멀웨어를 이용해 네트워크에 침입한다는 점을 고려하면, SSL/TLS 트래픽 전반을 파악하는 것도 매우 중요합니다. F5 BIG-IP SSL Orchestrator에 대해 잘 알고 계시다면, 이 솔루션이 암호화 뒤에 숨어 있는 악성 트래픽을 찾아내 공격자가 환경에 침입하거나 내부에서 측면 이동하는 것을 방지하는 데 핵심적인 역할을 한다는 것을 아실 것입니다.

RADIUS에 대해 간단히 다시 알아볼까요?

RADIUS 네트워킹 프로토콜은 인증, 권한 부여 및 계정 관리(AAA)를 통해 네트워크 액세스를 제어하는 업계 표준입니다. RADIUS 프로토콜은 1990년대에 개발된 이후 구축된 거의 모든 스위치, 라우터, 액세스 제어 지점 또는 VPN 허브를 지원합니다.

RADIUS가 처음 등장한 이후 위협 환경이 급격히 변화했다는 점을 고려하면, 오늘날의 사이버 보안 위협 전술까지 염두에 두고 설계된 것은 아니라고 해도 무리가 없습니다. 하지만 취약점은 피할 수 없다는 사실을 우리는 알고 있습니다. 최선의 대응은 신속한 대응입니다. 가능한 즉시 항상 패치를 적용하고 업그레이드하세요. 공격이 성공했을 때 그 영향을 최소화하려면 계층화된 보안 접근 방식을 도입하는 것도 매우 중요합니다. Blast-RADIUS든, 앞으로 헤드라인을 장식할 또 다른 취약점이든, 네트워크의 각 핵심 지점에 보호 체계를 마련하는 것은 공격자의 측면 이동을 차단하고, 공격 범위를 억제하며, 피해를 최소화하는 데 필수적입니다.

작성자 소개

Erin Verna수석 제품 마케팅 총괄 매니저 | F5

Erin Verna의 다른 블로그 게시물