Lỗ hổng vòng lặp vô hạn gây từ chối dịch vụ trong Okta RADIUS Agent

Okta RADIUS Agent không kiểm tra độ dài của sub-attribute khi phân tích Vendor-Specific attribute. Độ dài sub-attribute bằng không khiến parser lặp vô hạn, dẫn đến cạn kiệt worker thread và từ chối các yêu cầu xác thực RADIUS mới.

• Okta RADIUS Agent trên Windows: bị ảnh hưởng từ phiên bản 2.17.5 đến các phiên bản nhỏ hơn 2.28.0, tương ứng với phạm vi 2.17.5 đến 2.27.0 trong advisory của vendor.
• Bản đã xử lý: Okta nêu rằng lỗ hổng được xử lý trong phiên bản 2.28.0 và khuyến nghị nâng cấp lên phiên bản 2.28.0 hoặc cao hơn.
• Structured affected facts đặt default status là unaffected ngoài phạm vi affected đã nêu; không có platform hoặc release branch bổ sung nào được xác định.

Lỗ hổng thuộc CWE-835, là một vòng lặp vô hạn trong RADIUS packet parser. Khi xử lý Vendor-Specific attribute, agent không kiểm tra độ dài của sub-attribute. Nếu độ dài do kẻ tấn công kiểm soát bằng không, parser có thể lặp vô hạn, làm cạn kiệt worker thread và ngừng tiếp nhận các yêu cầu xác thực RADIUS mới. Khai thác yêu cầu một thiết bị có quyền truy cập mạng đến RADIUS UDP port của agent gửi một hoặc nhiều gói Access-Request chứa attribute không hợp lệ này. Các điều kiện tấn công trong record cho thấy không cần xác thực và không cần user interaction; khả năng tiếp cận thuộc adjacent network, không phải khẳng định rằng mọi deployment trên Internet đều có thể bị truy cập. Advisory không nêu tên hàm parser cụ thể và không cung cấp bằng chứng cho thấy các platform khác hoặc interface không dùng RADIUS cũng bị ảnh hưởng.

Kẻ tấn công cần quyền truy cập mạng đến RADIUS UDP port của Okta RADIUS Agent và có thể gửi Access-Request chứa Vendor-Specific attribute với sub-attribute có độ dài bằng không. Không cần privilege hoặc user interaction, và điều kiện tấn công được đánh giá là có độ phức tạp thấp. Record được cung cấp đánh dấu public exploit là false và không xác định hoạt động khai thác đã biết; dữ liệu enrichment của CISA đi kèm record cũng ghi nhận trạng thái exploitation là none tại thời điểm được trả về. Các trạng thái này không bảo đảm rằng lỗ hổng không thể bị khai thác trong tương lai.

Hậu quả kỹ thuật chính là mất availability của agent do worker thread bị giữ trong vòng lặp vô hạn, dẫn đến từ chối các yêu cầu xác thực RADIUS mới. Tác động nằm trong context dịch vụ của agent và không cho thấy thay đổi privilege hoặc mở rộng scope sang confidentiality hay integrity. Các hệ thống phụ thuộc vào RADIUS có thể bị gián đoạn đăng nhập hoặc xác thực nếu không có cơ chế dự phòng phù hợp. Bằng chứng hiện có không xác lập việc đọc dữ liệu, thay đổi dữ liệu, thực thi mã hoặc chiếm quyền điều khiển.

Việc kích hoạt thành công có thể làm cạn kiệt worker thread của agent và từ chối các yêu cầu xác thực RADIUS mới. Các dịch vụ phụ thuộc agent để xác thực có thể gặp lỗi đăng nhập hoặc chậm xác thực, tùy thuộc vào thiết kế fallback của từng dịch vụ. Bằng chứng hiện có hỗ trợ kết luận về gián đoạn availability, không phải truy cập hoặc sửa đổi dữ liệu trái phép. Record không xác lập breach, persistence, privilege escalation hoặc tác động đến các phiên đã hoàn tất.

1. Nâng cấp mọi instance Okta RADIUS Agent trên Windows nằm trong phạm vi affected lên phiên bản 2.28.0 hoặc cao hơn, theo quy trình deployment được Okta hỗ trợ.
2. Kiểm kê tất cả installation của agent và xác minh phiên bản sau khi nâng cấp; không giả định rằng cập nhật một agent sẽ tự động cập nhật các host khác.
3. Trước khi nâng cấp, nếu phù hợp với yêu cầu vận hành, hạn chế quyền truy cập mạng đến RADIUS UDP port của agent chỉ cho các hệ thống adjacent network đáng tin cậy. Đây là biện pháp defense in depth dựa trên precondition đã công bố, không phải phương án thay thế được vendor xác nhận cho việc patch.
4. Kiểm tra tình trạng dịch vụ xác thực và thử các yêu cầu xác thực RADIUS mới sau khi hoàn tất remediation.

1. Kiểm kê các host Windows đang chạy Okta RADIUS Agent và đối chiếu phiên bản cài đặt với ranh giới affected và fixed do Okta công bố.
2. Xác định các host nhận được lưu lượng trên RADIUS UDP port của agent, cùng những hệ thống có quyền truy cập mạng đến port này.
3. Rà soát các lỗi hoặc timeout xác thực RADIUS và tình trạng cạn kiệt worker hoặc tài nguyên của agent, đặc biệt khi xuất hiện lưu lượng Access-Request bất thường có Vendor-Specific attribute. Đây là các dấu hiệu cần kiểm tra để phòng ngừa, không phải IOC được Okta xác nhận.
4. Sau khi cập nhật, xác minh rằng các yêu cầu xác thực RADIUS mới được xử lý bình thường. Việc không thấy log đáng ngờ không chứng minh rằng hệ thống an toàn.