S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 05 mars 2002
N° CERTA-2002-AVI-048
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples implémentations du protocole RADIUS vulnérables

Gestion du document

Référence CERTA-2002-AVI-048
Titre Multiples implémentations du protocole RADIUS vulnérables
Date de la première version05 mars 2002
Date de la dernière version05 mars 2002
Source(s) Avis CA-2002-06 du CERT/CC
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Déni de service
  • Exécution de code arbitraire

Systèmes affectés

  • Ascend RADIUS versions 1.16 et précédentes;
  • Cistron RADIUS versions 1.6.5 et précédentes;
  • FreeRADIUS versions 0.3 et précédentes;
  • GnuRADIUS versions 0.95 et précédentes;
  • ICRADIUS versions 0.18.1 et précédentes;
  • Livingston RADIUS versions 2.1 et précédentes;
  • RADIUS ( anciennement Lucent RADIUS ) versions 2.1 et précédentes;
  • RADIUSClient versions 0.3.1 et précédentes;
  • XTRADIUS 1.1-pre1 et précédentes;
  • YARD RADIUS 1.0.19 et précédentes.

Résumé

RADIUS ( Remote Authentification Dial In User Service ) est un protocole utilisé pour l'identification et l'authentification de clients distants. Des vulnérabilités ont été découvertes dans certaines implémentations de ce protocole.

Description

Le protocole RADIUS est utilisé pour l'identification et l'authentification de clients distants. Ce protocole est décrit dans la RFC 2138. Deux vulnérabilités ont été mises en évidence dans l'implémentation de certains serveurs RADIUS:

  • Un individu mal intentionné peut effectuer à distance un débordement de mémoire et exécuter du code arbitraire. Cette vulnérabilité n'est exploitable que si l'attaquant connait la clé secrète partagée entre le client et le serveur.
  • L'envoi de paquets mal formés à destination du serveur peut causer un deni de service.

Solution

Se référer à l'avis CA-2002-06 du CERT/CC (cf. Documentation) pour obtenir la liste des systèmes affectés et les correctifs disponibles.

Documentation

Gestion détaillée du document

    le 05 mars 2002
    version initiale.