S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 09 février 2004
N° CERTA-2004-AVI-025
Affaire suivie par: CERT-FR
le 09 février 2004

Avis du CERT-FR

Objet: Vulnérabilité de GNU Radius

Gestion du document

Référence CERTA-2004-AVI-025
Titre Vulnérabilité de GNU Radius
Date de la première version 09 février 2004
Date de la dernière version 09 février 2004
Source(s) Avis de sécurité iDEFENSE 02.04.04
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Déni de service.

Systèmes affectés

Toutes les versions de GNU Radius antérieures à la version 1.2.

Résumé

Une vulnérabilité dans GNU Radius permet à un utilisateur mal intentionné de provoquer un déni de service sur le serveur Radius (service radiusd).

Description

GNU Radius est un serveur Radius (RFC2866). Une vulnérabilité dans les services de comptabilité du serveur radiusd permet à un utilisateur mal intentionné de provoquer un déni de service par l'envoi d'un paquet UDP malicieusement construit. Aucune authentification n'est nécessaire pour exploiter cette vulnérabilité.

Contournement provisoire

Dans l'attente de la mise à jour de GNU Radius, filtrer les ports utilisés par le serveur GNU Radius (par défaut 1813/UDP ou 1646/UDP) pour les opérations de comptabilité.

Solution

Mettre à jour GNU Radius en version 1.2 (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 09 février 2004
    version initiale.