[OpenBSD/login_radius] Schwachstelle in der RADIUS-Authentifizierungsschnittstelle von OpenBSD
(2004-09-24 14:22:02.960834+00)
Quelle:
http://www.reseau.nl/advisories/0400-openbsd-radius.txt
Die Routinen in login_radius(8)
unter OpenBSD, die eine Schnittstelle zur Nutzung einer RADIUS-Authentifizierung bereitstellen, enthalten eine Schwachstelle, die es unautorisierten Angreifern ermöglicht, sich an einem regulären Benutzerkonto des beherbergenden Rechnersystems ohne Kenntnis des erforderlichen Passworts anzumelden.
Betroffene Systeme
- OpenBSD 3.2
- OpenBSD 3.4
- OpenBSD 3.5
Nicht betroffene Systeme
- OpenBSD-current
- OpenBSD 3.6
- OpenBSD 3.4 stable branch seit 2004-09-22
- OpenBSD 3.5 stable branch seit 2004-09-22
- Systeme, die mit entsprechenden Vendor-Patches zur Behebung der Schwachstelle versehen sind, die aber i.d.R. nicht die Versionsnummer ändern.
Einfallstor
Aufzeichnen eines regulären RADIUS-Authentifizierungsvorganges über eine Netzwerkverbindung.
Auswirkung
Unautorisierte Verwendung eines regulären Benutzerkontos über eine Netzwerkverbindung (remote user compromise).
Typ der Verwundbarkeit
Programmierfehler
Gefahrenpotential
hoch
sollen Benutzer mit administrativen Privilegien über diesen Mechanismus authentifiziert werden:
sehr hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)
Kontext
RADIUS ist ein Protokoll zur Authentifizierung, Autorisierung sowie zur Abrechnung (AAA) von Ressourcenverbrauch (s. RFC2865). Es wird häufig in größeren Umgebungen als Protokoll für einen zentralen AAA-Dienst eingesetzt, bei denen Benutzer nach Authentifizierung und Autorisierung durch einen RADIUS-Server Ressourcen auch anderer Server in Anspruch nehmen können.
Das Werkzeug login_radius(8)
stellt unter OpenBSD eine Schnittstelle zum RADIUS-Daemon her, den andere Dienste verwenden können, um Benutzer über den RADIUS-Dienst zu authentifizieren. So kann z.B. ein System unter OpenBSD die Authentifizierung eines Benutzers durch einen entfernten RADIUS-Server durchführen lassen. Möchte sich ein Benutzer bei dem System anmelden, so erfragt dieses beim Benutzer den Benutzernamen und das zugehörige Passwort, das es dann an den RADIUS-Server weiterschickt. Der RADIUS-Server führt die Authentifizierung durch und antwortet dem System mit einem 'ACCEPT'
oder 'REJECT'
. Je nach der erhaltenen Antwort erlaubt das System nun dem Benutzer den Zugriff oder nicht.
Beschreibung
Das Werkzeug login_radius(8)
enthält eine Schwachstelle, die es unautorisierten Angreifern ermöglicht, sich an einem regulären Benutzerkonto des beherbergenden Rechnersystems anzumelden.
Bei der Kommunikation zwischen dem beherbergenden System und dem RADIUS-Server überprüft login_radius(8)
nicht kryptographisch stark die Authentizität eines 'ACCEPT'
-Paketes. Dadurch ist es einem Angreifer möglich, ein bei einer regulären Authentifizierungsprozedur aufgezeichnetes 'ACCEPT'
-Paket wiederzuverwenden und sich so ohne gültiges Passwort bei einem System anzumelden, das einen entfernten RADIUS-Server zur Authentifizierung seiner Benutzer verwendet.
Gegenmaßnahmen
- Installation eines Patches:
- OpenBSD 3.4
- OpenBSD 3.5
Weitere Information zu diesem Thema
Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.
Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/
https://cert.uni-stuttgart.de/ticker/article.php?mid=1217