Описание
Уязвимость реализации протокола аутентификации RADIUS связана с обходом процедуры аутентификации посредством захвата-воспроизведения (capture-replay) перехваченных сообщений. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ путём подделки аутентификационного ответа
Вендор
Microsoft Corp
Novell Inc.
Сообщество свободного программного обеспечения
ООО «Ред Софт»
ООО «РусБИТех-Астра»
Amazon.com Inc.
АО «НТЦ ИТ РОСА»
Palo Alto Networks Inc.
Наименование ПО
Windows Server 2008 Service Pack 2
Windows Server 2012
Windows Server 2012 R2
Windows Server 2008 R2 Service Pack 1
Windows 10
Windows 10 1607
Windows Server 2016
Windows Server 2008 Service Pack 2 (Server Core Installation)
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016 (Server Core installation)
Windows Server 2008 R2 Service Pack 1 (Server Core installation)
Windows 10 1809
Windows Server 2019
Windows Server 2019 (Server Core installation)
OpenSUSE Leap
Suse Linux Enterprise Server
SUSE Linux Enterprise Server for SAP Applications
SUSE Linux Enterprise Software Development Kit
Windows Server 2022
Windows Server 2022 (Server Core installation)
Debian GNU/Linux
РЕД ОС
Windows 10 21H2
Astra Linux Special Edition
SUSE Linux Enterprise High Performance Computing
SUSE Manager Retail Branch Server
SUSE Manager Proxy
SUSE Manager Server
SUSE Enterprise Storage
Amazon Linux 2
Amazon Linux 1
Windows 11 22H2
Windows 10 22H2
Windows 11 21H2
РОСА Кобальт
ROSA Virtualization
РОСА ХРОМ
SUSE Linux Enterprise Module for Server Applications
Windows Server 2012 (Server Core installation)
Windows 11 23H2
Windows Server 2022, 23H2 Edition (Server Core installation)
PAN-OS
Prisma Access
ROSA Virtualization 3.0
Версия ПО
- (Windows Server 2008 Service Pack 2)
- (Windows Server 2008 Service Pack 2)
- (Windows Server 2012)
- (Windows Server 2012 R2)
- (Windows Server 2008 R2 Service Pack 1)
- (Windows 10)
- (Windows 10)
- (Windows 10 1607)
- (Windows 10 1607)
- (Windows Server 2016)
- (Windows Server 2008 Service Pack 2 (Server Core Installation))
- (Windows Server 2008 Service Pack 2 (Server Core Installation))
- (Windows Server 2012 R2 (Server Core installation))
- (Windows Server 2016 (Server Core installation))
- (Windows Server 2008 R2 Service Pack 1 (Server Core installation))
- (Windows 10 1809)
- (Windows 10 1809)
- (Windows Server 2019)
- (Windows Server 2019 (Server Core installation))
- (Windows 10 1809)
15.5 (OpenSUSE Leap)
12 SP5 (Suse Linux Enterprise Server)
12 SP5 (SUSE Linux Enterprise Server for SAP Applications)
12 SP5 (SUSE Linux Enterprise Software Development Kit)
- (Windows Server 2022)
- (Windows Server 2022 (Server Core installation))
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
7.3 (РЕД ОС)
- (Windows 10 21H2)
- (Windows 10 21H2)
- (Windows 10 21H2)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
15 SP3 (SUSE Linux Enterprise Server for SAP Applications)
15 SP2 (SUSE Linux Enterprise Server for SAP Applications)
15 SP2-LTSS (SUSE Linux Enterprise High Performance Computing)
15 SP4 (SUSE Linux Enterprise Server for SAP Applications)
15 SP2-LTSS (Suse Linux Enterprise Server)
4.3 (SUSE Manager Retail Branch Server)
4.3 (SUSE Manager Proxy)
4.3 (SUSE Manager Server)
7.1 (SUSE Enterprise Storage)
- (Amazon Linux 2)
- (Amazon Linux 1)
- (Windows 11 22H2)
- (Windows 11 22H2)
- (Windows 10 22H2)
- (Windows 10 22H2)
- (Windows 10 22H2)
- (Windows 11 21H2)
- (Windows 11 21H2)
15 SP3-LTSS (Suse Linux Enterprise Server)
15 SP3-LTSS (SUSE Linux Enterprise High Performance Computing)
7.9 (РОСА Кобальт)
15 SP5 (SUSE Linux Enterprise Server for SAP Applications)
15 SP5 (Suse Linux Enterprise Server)
15 SP5 (SUSE Linux Enterprise High Performance Computing)
2.1 (ROSA Virtualization)
12.4 (РОСА ХРОМ)
15 SP5 (SUSE Linux Enterprise Module for Server Applications)
- (Windows Server 2012 (Server Core installation))
- (Windows 11 23H2)
- (Windows 11 23H2)
15 SP4-ESPOS (SUSE Linux Enterprise High Performance Computing)
15 SP4-LTSS (SUSE Linux Enterprise High Performance Computing)
15 SP4-LTSS (Suse Linux Enterprise Server)
15 SP6 (Suse Linux Enterprise Server)
15 SP6 (SUSE Linux Enterprise Server for SAP Applications)
15 SP6 (SUSE Linux Enterprise High Performance Computing)
15.6 (OpenSUSE Leap)
- (Windows Server 2022, 23H2 Edition (Server Core installation))
до 11.1.3 (PAN-OS)
до 11.0.4-h4 (PAN-OS)
до 10.2.10 (PAN-OS)
до 10.1.14 (PAN-OS)
до 9.1.19 (PAN-OS)
- (Prisma Access)
15 SP6 (SUSE Linux Enterprise Module for Server Applications)
1.8 (Astra Linux Special Edition)
3.0 (ROSA Virtualization 3.0)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Сетевое средство
ПО виртуализации/ПО виртуального программно-аппаратного средства
Операционные системы и аппаратные платформы
Microsoft Corp Windows Server 2008 Service Pack 2 -
Microsoft Corp Windows Server 2008 Service Pack 2 -
Microsoft Corp Windows Server 2012 -
Microsoft Corp Windows Server 2012 R2 -
Microsoft Corp Windows Server 2008 R2 Service Pack 1 -
Microsoft Corp Windows 10 -
Microsoft Corp Windows 10 -
Microsoft Corp Windows 10 1607 -
Microsoft Corp Windows 10 1607 -
Microsoft Corp Windows Server 2016 -
Microsoft Corp Windows Server 2008 Service Pack 2 (Server Core Installation) -
Microsoft Corp Windows Server 2008 Service Pack 2 (Server Core Installation) -
Microsoft Corp Windows Server 2012 R2 (Server Core installation) -
Microsoft Corp Windows Server 2016 (Server Core installation) -
Microsoft Corp Windows Server 2008 R2 Service Pack 1 (Server Core installation) -
Microsoft Corp Windows 10 1809 -
Microsoft Corp Windows 10 1809 -
Microsoft Corp Windows Server 2019 -
Microsoft Corp Windows Server 2019 (Server Core installation) -
Microsoft Corp Windows 10 1809 -
Novell Inc. OpenSUSE Leap 15.5
Novell Inc. Suse Linux Enterprise Server 12 SP5
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP5
Microsoft Corp Windows Server 2022 -
Microsoft Corp Windows Server 2022 (Server Core installation) -
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «Ред Софт» РЕД ОС 7.3
Microsoft Corp Windows 10 21H2 -
Microsoft Corp Windows 10 21H2 -
Microsoft Corp Windows 10 21H2 -
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP3
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP2
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP4
Novell Inc. Suse Linux Enterprise Server 15 SP2-LTSS
Amazon.com Inc. Amazon Linux 2 -
Amazon.com Inc. Amazon Linux 1 -
Microsoft Corp Windows 11 22H2 -
Microsoft Corp Windows 11 22H2 -
Microsoft Corp Windows 10 22H2 -
Microsoft Corp Windows 10 22H2 -
Microsoft Corp Windows 10 22H2 -
Microsoft Corp Windows 11 21H2 -
Microsoft Corp Windows 11 21H2 -
Novell Inc. Suse Linux Enterprise Server 15 SP3-LTSS
АО «НТЦ ИТ РОСА» РОСА Кобальт 7.9
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP5
Novell Inc. Suse Linux Enterprise Server 15 SP5
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4
Microsoft Corp Windows Server 2012 (Server Core installation) -
Microsoft Corp Windows 11 23H2 -
Microsoft Corp Windows 11 23H2 -
Novell Inc. Suse Linux Enterprise Server 15 SP4-LTSS
Novell Inc. Suse Linux Enterprise Server 15 SP6
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP6
Novell Inc. OpenSUSE Leap 15.6
Microsoft Corp Windows Server 2022, 23H2 Edition (Server Core installation) -
Palo Alto Networks Inc. PAN-OS до 11.1.3
Palo Alto Networks Inc. PAN-OS до 11.0.4-h4
Palo Alto Networks Inc. PAN-OS до 10.2.10
Palo Alto Networks Inc. PAN-OS до 10.1.14
Palo Alto Networks Inc. PAN-OS до 9.1.19
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8
АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0
Уровень опасности уязвимости
Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование протокола расширенной аутентификации (EAP);
- использование шифрования TLS (или DTLS);
- использование средств межсетевого экранирования для ограничения удаленного доступа;
- использование виртуальных частных сетей для организации удаленного доступа (VPN).
Использование рекомендаций производителя:
Для Microsoft Corp.:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-3596
Для Palo Alto Networks Inc.:
https://security.paloaltonetworks.com/CVE-2024-3596
Для Amazon Linux:
https://explore.alas.aws.amazon.com/CVE-2024-3596.html
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-3596
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2024-3596.html
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2025-2559
Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2024-2509
Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2025-2559
Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2024-2509
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2909
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2806
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2879
Для ОС Astra Linux:
обновить пакет krb5 до 1.21.3-4ubuntu2astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18
Для ОС Astra Linux:
обновить пакет krb5 до 1.19.2-2ubuntu0.7astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17
Для ОС Astra Linux:
обновить пакет krb5 до 1.19.2-2ubuntu0.7astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1020SE47
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 96%
0.24613
Средний
7.5 High
CVSS3
6.8 Medium
CVSS2
Связанные уязвимости
CVSS3: 9
ubuntu
больше 1 года назад
RADIUS Protocol under RFC 2865 is susceptible to forgery attacks by a local attacker who can modify any valid Response (Access-Accept, Access-Reject, or Access-Challenge) to any other response using a chosen-prefix collision attack against MD5 Response Authenticator signature.
CVSS3: 9
redhat
больше 1 года назад
RADIUS Protocol under RFC 2865 is susceptible to forgery attacks by a local attacker who can modify any valid Response (Access-Accept, Access-Reject, or Access-Challenge) to any other response using a chosen-prefix collision attack against MD5 Response Authenticator signature.
CVSS3: 9
nvd
больше 1 года назад
RADIUS Protocol under RFC 2865 is susceptible to forgery attacks by a local attacker who can modify any valid Response (Access-Accept, Access-Reject, or Access-Challenge) to any other response using a chosen-prefix collision attack against MD5 Response Authenticator signature.
CVSS3: 7.5
msrc
больше 1 года назад
CERT/CC: CVE-2024-3596 RADIUS Protocol Spoofing Vulnerability
EPSS
Процентиль: 96%
0.24613
Средний
7.5 High
CVSS3
6.8 Medium
CVSS2