Blast-RADIUS-Angriff ermöglicht RADIUS-Authentifizierung zu umgehen

Sicherheit (Pexels, allgemeine Nutzung)[English]Eine von Sicherheitsforschern entdeckte Schwachstelle (CVE-2024-3596) ermöglicht es, sich in einem Netzwerk mittels des RADIUS-Netzwerk-Authentifizierungsprotokolls ohne weitere Authentifizierung anzumelden. Die Blast-RADIUS genannte Schwachstelle könnte die Netzwerksicherheit in Unternehmen gefährden, weil die RADIUS-Netzwerk-Authentifizierung unterlaufen werden kann.


Anzeige

Die RADIUS-Authentifizierung

RADIUS ist ein ein Client-Server-Protokoll, das zur Authentifizierung, Autorisierung und zum Accounting von Benutzern bei Einwahlverbindungen in ein Computernetzwerk (virtuelles Netzwerk, VPN, Remote Access Services, RAS) dient. RADIUS wird in einer Vielzahl von Anwendungen eingesetzt, u. a. in Unternehmensnetzen zur Authentifizierung des Zugangs zu Switches und anderen Routing-Infrastrukturen, für den VPN-Zugang, von ISPs für DSL und FTTH (Fiber to the Home), bei der 802.1X- und Wi-Fi-Authentifizierung, beim 2G- und 3G-Mobilfunk-Roaming und bei der 5G-DANN-Authentifizierung (Data Network Name), beim mobilen Wi-Fi-Offload mit SIM-Karten-basierter Authentifizierung, bei der privaten APN-Authentifizierung, zur Authentifizierung des Zugangs zu kritischen Infrastrukturen und in den WLAN-Konsortien Eduroam und OpenRoaming.

Das Kürzel RADIUS steht für Remote Authentication Dial-In User Service, und ein RADIUS-Server übernimmt die Authentifizierung der Clients im Netzwerk mittels Benutzername und Kennwort. Des Weiteren werden Parameter für die Verbindung zum Client bereitgestellt. Die dabei verwendeten Daten entnimmt der RADIUS-Server eigenen Konfigurationsdateien, eigenen Konfigurationsdatenbanken oder ermittelt diese durch Anfragen an weitere Datenbanken oder Verzeichnisdienste, in denen die Zugangsdaten wie Benutzername und Kennwort gespeichert sind.

Das RADIUS-Protokoll (Remote Authentication Dial-In User Service) ist das Kernstück der heutigen Netzinfrastruktur. Obwohl das Protokoll bereits 1991 entwickelt wurde, ist es nach wie vor das Standard-Authentifizierungsprotokoll für den Remote-Zugriff von Benutzern und Administratoren auf vernetzte Geräte. RADIUS wird laut dieser Quelle von fast allen Switches, Routern, Access Points und VPN-Konzentratoren unterstützt, die in den letzten zwanzig Jahren verkauft wurden".

Die Blast-RADIUS-Schwachstelle (CVE-2024-3596)

Der Begriff Blast-Radius beschreibt den Radius für Schäden bei einer Explosion, hier bezieht es sich auf den Schaden in einem Netzwerk, wenn die Schwachstelle ausgenutzt wird. Blast-RADIUS ist eine Schwachstelle (CVE-2024-3596) im RADIUS-Protokoll, die es einem Angreifer ermöglicht, jede gültige Antwort (Access-Accept, Access-Reject oder Access-Challenge)  des RADIUS-Servers zu fälschen und in eine andere Antwort umzusetzen. Die Schwachstelle wurde mit einem CVS Score von 7.5 eingestuft.

Entdeckt wurde Blast-RADIUS von Sicherheitsforschern von Cloudflare, Microsoft, UC San Diego, CWI Amsterdam und BastionZeround entdeckt und wird hier beschrieben. Zur Ausnutzung der Schwachstelle muss der Angreifer als Man-in-the-middle (MitM) zwischen Client und Server einen Angriff mit gewählter Präfix-Kollision gegen die MD5 Response Authenticator-Signatur durchführen.

Durch diese Fälschung der Antworten vom RADIUS-Server kann der Angreifer Zugang zu Netzwerkgeräten und -diensten erhalten, ohne dass er Passwörter oder gemeinsam genutzte Geheimnisse erraten oder erzwingen muss. Der Angreifer erfährt keine Benutzeranmeldedaten. Die Schwachstelle kann nur ausgenutzt werden, wenn keine EAP-Authentifizierungsmethoden über UDP verwendet werden. Weiterhin muss man feststellen, dass die Sicherheitsforscher die MD5-Kollision ziemlich optimieren und parallelisieren mussten, so dass der Angriff in Minuten statt in Stunden abläuft. Aktuell ist der Angriff daher eher theoretischer Natur, könnte aber in Zukunft ausgenutzt werden. heise beschreibt es hier ganz gut: Die Forscher benötigten trotz Optimierung ca. 3-6 Minuten, den MD5-Hash aufzubrechen, während übliche RADIUS-Implementierungen für den Authentifizierungs-Prozess 30 bis 60 Sekunden zugestehen.

Was kann/sollte man tun?

Endbenutzer können selbst nichts tun, um sich vor diesem Angriff zu schützen. Hier sind die Administratoren von Unternehmensnetzwerken in denen das RADIUS-Netzwerkprotokoll verwendet wird, gefordert. Als erstes sollte man prüfen, ob die RADIUS-Implementierung EAP-Authentifizierungsmethoden über UDP unterstützt. Wird diese Variante konfiguriert, funktioniert Blast-RADIUS nicht mehr.

Die Entdecker empfehlen unter blastradius.fail, dass Systemadministratoren von Netzwerken, die RADIUS verwenden, sich bei den Anbietern der Komponenten nach einem Patch gegen diese Sicherheitslücke erkundigen und die in der Q&A -Sektion auf der Seite beschriebenen bewährten Verfahren für die RADIUS-Konfiguration befolgen sollten.


Anzeige

Microsoft hat zum 9. Juli 2024 ein Sicherheitsupdate für die im Support befindlichen Windows-Versionen (Clients und Server) mit einem Patch gegen Blast-RADIUS bereitgestellt. Die betreffenden Patches zum Schließen der RADIUS Protocol Spoofing-Schwachstelle CVE-2024-3596 sind hier beschrieben.


Cookies blockieren entzieht uns die Finanzierung: Cookie-Einstellungen

Dieser Beitrag wurde unter Netzwerk, Sicherheit, Software, Windows, Windows 10, Windows Server abgelegt und mit , , , , verschlagwortet. Setze ein Lesezeichen auf den Permalink.

5 Antworten zu Blast-RADIUS-Angriff ermöglicht RADIUS-Authentifizierung zu umgehen

  1. Fritz sagt:

    https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw04662en_us

    https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-radius-spoofing-july-2024-87cCDwZ3

    Wenn ich es richtig verstehe, muß sich der Angreifer schon in dem Netzwerk, in dem die RADIUS-Nachrichten laufen (bei uns ein abgeschottetes Management-VLAN ohne Nutzerdatenverkehr) befinden oder zumindest UDP dorthin senden können.

    • Bob sagt:

      Genau so ist es.
      Wenn ein Angreifer schon dort drin ist, dann hat man ohnehin ein ernsthaftes Problem.
      Unabhängig davon funktioniert der Angriff selbst dann wohl nur bei MAC-Auth-Bypass, weil hier kein EAP im Spiel ist, sondern der RADIUS-Client einen MD5-Hash der MAC an den RADIUS-Server sendet…

      • Anonymous sagt:

        wie war das mit kompletter Verschlüsslung und ZERO Trust auch im eigenen Netzwerk

        • Fritz sagt:

          RADIUS ist ein herstellerübergreifendes Protokoll mit SEHR langer Geschichte.

          Inhaltlich hat man im Prinzip nichts zu verbergen, es geht hier ja auch eher um gefälschte Access-Accept-Nachrichten.

          Dagegen hat man schon seit langer Zeit angefangen diese Nachrichten zu signieren, leider sind an vielen Stellen noch veraltete Protokolle (MSCHAP, MD5) im Einsatz, die im Advisory als "predictable" bezeichnet werden.

          Hier spielt eher die herstellerübergreifende Kompatibilität eine Rolle ein Linux- oder Windows-NPS muß einem Cisco- oder HP-Switch sagen können "Der Client ist OK, der darf ins Netz".

          Mit Vendor-Lock-In könnte man freilich propietäre Protokolle (CAPWAP, TACACS) nutzen, die mehr Sicherheit bieten.

  2. Martin sagt:

    eduroam ist laut heise zum Glück nicht betroffen.

    "Glücklicherweise betrifft die Blast-RADIUS-Schwachstelle das Eduroam-Netz nicht, da dieses bereits seit langem Sicherheitsvorkehrungen vorschreibt, die der aktuellen Schwachstelle den Wind aus den Segeln nehmen."

    https://www.heise.de/news/Blast-RADIUS-Sicherheitsluecke-im-Netzwerkprotokoll-RADIUS-veroeffentlicht-9797185.html

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros). Kommentare abseits des Themas bitte unter Diskussion.