Uma falha no RADIUS, um protocolo comum de rede cliente-servidor, recebeu recentemente ampla atenção da imprensa e de especialistas em segurança cibernética. Descoberta por pesquisadores de universidades e profissionais do setor de tecnologia, essa falha recebeu uma pontuação 9 no Common Vulnerability Scoring System (CVSS), o que a coloca na categoria de vulnerabilidade crítica (CVE-2024-3596 e VU#456537). Como o protocolo RADIUS é compatível com a maioria dos roteadores, switches e pontos de acesso VPN implantados desde o fim da década de 1990, essa falha abre caminho para que invasores contornem a autenticação de usuários por meio de um ataque man-in-the-middle (MITM) entre o cliente e o servidor RADIUS. Com isso, os invasores podem obter acesso a qualquer dispositivo, rede ou serviço de internet que dependa do protocolo RADIUS.
Como funciona a vulnerabilidade?
De acordo com o Banco de Dados Nacional de Vulnerabilidades (NVD) do Instituto Nacional de Padrões e Tecnologia (NIST), o protocolo RADIUS “sob a RFC 2865 é suscetível a ataques de falsificação por um invasor local capaz de modificar qualquer resposta válida (Access-Accept, Access-Reject ou Access-Challenge) para qualquer outra resposta usando um ataque de colisão de prefixo escolhido contra a assinatura do Autenticador de Resposta MD5.”
Nesse cenário, os invasores podem elevar seus privilégios para acessar dispositivos e serviços de rede sem recorrer a ataques de força bruta, como o preenchimento de credenciais. Um site sobre o Blast-RADIUS foi criado pelos pesquisadores universitários e pelas grandes empresas de tecnologia que descobriram a falha e contém informações detalhadas sobre a vulnerabilidade e os métodos de mitigação, além de algumas perguntas e respostas úteis.
Em resumo, o modelo de ameaça pressupõe que um invasor tenha obtido acesso à rede e, em seguida, atue como um “intermediário” entre o cliente RADIUS e o servidor RADIUS, o que lhe permite ler, interceptar, modificar ou bloquear pacotes de entrada e saída. Se houver proxies em uso, o ataque poderá ocorrer entre quaisquer pontos da rota.
Quem é afetado?
Qualquer organização com uma implementação de RADIUS que não use o Protocolo de Autenticação Extensível (EAP) sobre o Protocolo de Datagrama do Usuário (UDP) está vulnerável e deve atualizar seus servidores RADIUS imediatamente. O EAP é a estrutura de autenticação usada com frequência em conexões de rede (consulte o resumo da RFC 3748 - Protocolo de Autenticação Extensível no IETF Datatracker). Segundo os pesquisadores, o Blast-RADIUS não parece afetar servidores RADIUS que realizam apenas autenticação EAP (embora ainda seja recomendável atualizar tudo).
O que você deve fazer?
Veja algumas medidas que você pode tomar agora e daqui para frente para proteger sua rede:
- Conforme observado no site do Blast-RADIUS, antes de tudo, você deve atualizar imediatamente os servidores RADIUS e, em seguida, os clientes, sempre que possível. Certifique-se de habilitar assinaturas criptográficas para os pacotes RADIUS por meio do atributo “message-authenticator” em todas as solicitações e respostas (ou seja, Access-Accept, Access-Reject ou Access-Challenge).
- A longo prazo, manter o RADIUS em um canal criptografado e autenticado é a recomendação atual dos especialistas em segurança cibernética.
- Como muitos invasores recorrem a malware oculto em tráfego criptografado para invadir uma rede, também é fundamental ter visibilidade de todo o seu tráfego SSL/TLS. Se você conhece o F5 BIG-IP SSL Orchestrator, essa solução é essencial para identificar tráfego malicioso oculto por criptografia, impedindo que invasores violem seu ambiente ou se movimentem lateralmente por ele.
Precisa relembrar um pouco sobre o RADIUS?
O protocolo de rede RADIUS é um padrão reconhecido pelo setor para controlar o acesso a redes por meio de autenticação, autorização e contabilização (AAA). Os protocolos RADIUS são compatíveis com praticamente todos os switches, roteadores, pontos de controle de acesso ou concentradores de VPN implantados desde seu desenvolvimento, na década de 1990.
É justo dizer que o RADIUS não foi projetado levando em conta as táticas atuais de ameaças à segurança cibernética, considerando as mudanças exponenciais no cenário de ameaças desde seu lançamento. Mas sabemos que vulnerabilidades são inevitáveis. A melhor resposta é agir rapidamente: sempre aplique as correções e atualizações assim que possível. Adotar uma abordagem de segurança em camadas também é fundamental para minimizar o impacto caso um invasor seja bem-sucedido. Seja o Blast-RADIUS ou a próxima vulnerabilidade que ganhará as manchetes, contar com proteções em cada ponto crítico da sua rede é essencial para impedir a movimentação lateral de um invasor, conter suas ações e minimizar possíveis danos.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...