Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Bug in FreeRADIUS server permette l’accesso senza login

Giu 01, 2017 Marco Schiaffino News, RSS, Vulnerabilità 0

Il problema riguarda le connessioni TLS e permetterebbe di portare un attacco che aggira la richiesta di username e password per l’accesso.

Il protocollo RADIUS (Remote Authentication Dial-In User Service) è utilizzato da aziende e Internet Provider per gestire l’autenticazione all’interno delle reti. Uno dei software più diffusi utilizzati per questo scopo è FreeRADIUS Server, un progetto Open Source che fornisce tutto il necessario per la gestione delle autenticazioni in ambiente Windows e Linux.

Con il rilascio della nuova versione 3.0.14, gli sviluppatori della suite hanno reso pubblica una vulnerabilità (CVE-2017-9148) che mette a rischio l’intero sistema di autenticazione.

Come spiega Pavel Kankovsky nel suo report, il problema si annida nel sistema di gestione delle connessioni TLS e in particolare in una funzione che prevede una “corsia preferenziale” nel ripristino del collegamento nel caso si verifichi un’interruzione, per esempio quando il client passa da una cella a un’altra.

FreeRADIUS è un software rodatissimo e gli aggiornamenti legati a vulnerabilità sono piuttosto rari. Questa volta, però, nell’elenco delle feature compare un CVE.

In questa situazione, infatti, FreeRADIUS non chiede nuovamente l’autenticazione interna. Il problema, però, è che questo avviene anche quando l’autenticazione non è ancora stata completata.

Insomma: un pirata informatico potrebbe provocare l’interruzione ad arte per ottenere l’accesso senza avere credenziali valide.

I ricercatori consigliano naturalmente di aggiornare il software alla nuova versione 3.0.14 e, nel frattempo, consigliano di mitigare il rischio di attacchi disabilitando la funzione di caching delle connessioni TLS.

Condividi l'articolo