The remote NewStart CGSL host, running version CORE 5.05 / MAIN 5.05, has freeradius packages installed that are affected by multiple vulnerabilities:

  - FreeRADIUS before 3.0.19 mishandles the each     participant verifies that the received scalar is within     a range, and that the received group element is a valid     point on the curve being used protection mechanism, aka     a Dragonblood issue, a similar issue to CVE-2019-9498     and CVE-2019-9499. (CVE-2019-11235)

  - FreeRADIUS before 3.0.19 does not prevent use of     reflection for authentication spoofing, aka a     Dragonblood issue, a similar issue to CVE-2019-9497.
    (CVE-2019-11234)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

This update for freeradius-server fixes the following issues :

Security issues fixed :

  - CVE-2019-11235: Fixed an authentication bypass related     to the EAP-PWD Commit frame and insufficent validation     of elliptic curve points (bsc#1132549).

  - CVE-2019-11234: Fixed an authentication bypass caused by     reflecting privous values back to the server     (bsc#1132664).

This update was imported from the SUSE:SLE-15:Update update project.

An update for freeradius is now available for Red Hat Enterprise Linux 7.

Red Hat Product Security has rated this update as having a security impact of Important. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

FreeRADIUS is a high-performance and highly configurable free Remote Authentication Dial In User Service (RADIUS) server, designed to allow centralized authentication and authorization for a network.

Security Fix(es) :

* freeradius: eap-pwd: authentication bypass via an invalid curve attack (CVE-2019-11235)

* freeradius: eap-pwd: fake authentication using reflection (CVE-2019-11234)

For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and other related information, refer to the CVE page(s) listed in the References section.

Note that Tenable Network Security has attempted to extract the preceding description block directly from the corresponding Red Hat security advisory. Virtuozzo provides no description for VZLSA advisories. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

来自 Red Hat 安全公告 2019:1142： freeradius:3.0 模块的更新现可用于 Red Hat Enterprise Linux 8。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 FreeRADIUS 是一种高性能且高度可配置的免费远程身份验证拨入用户服务 (RADIUS) 服务器，旨在允许对网络进行集中式身份验证和授权。 安全补丁： * freeradius：eap-pwd：通过无效曲线攻击的身份验证绕过 (CVE-2019-11235) * freeradius：eap-pwd：使用反射进行虚假身份验证 (CVE-2019-11234) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

运行版本 CORE 5.05 / MAIN 5.05 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 freeradius 程序包：- 在 3.0.19 之前的 FreeRADIUS 未正确处理各参与者验证所收到的标量位于一定范围，以及所收到的群组元素为所使用曲线上的有效点保护机制，亦即 Dragonblood 问题，与 CVE-2019-9498 和 CVE-2019-9499 类似的问题。(CVE-2019-11235) - 低于 3.0.19 的 FreeRADIUS 未防止使用验证欺骗反射，亦即 Dragonblood 问题，与 CVE-2019-9497 类似的问题。(CVE-2019-11234) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

freeradius 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。FreeRADIUS 是可配置性高的高性能免费远程认证拨入用户服务 (RADIUS) 服务器，旨在允许网络的集中认证和授权。安全修复：* freeradius: eap-pwd：通过无效曲线攻击身份验证绕过 (CVE-2019-11235) * freeradius: eap-pwd：利用反射虚假身份验证 (CVE-2019-11234) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

freeradius:3.0 模块的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。FreeRADIUS 是可配置性高的高性能免费远程认证拨入用户服务 (RADIUS) 服务器，旨在允许网络的集中认证和授权。安全修复：* freeradius: eap-pwd：通过无效曲线攻击身份验证绕过 (CVE-2019-11235) * freeradius: eap-pwd：利用反射虚假身份验证 (CVE-2019-11234) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

来自 Red Hat 安全公告 2019:1131： freeradius 的更新现在可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 FreeRADIUS 是一种高性能且高度可配置的免费远程身份验证拨入用户服务 (RADIUS) 服务器，旨在允许对网络进行集中式身份验证和授权。 安全补丁： * freeradius：eap-pwd：通过无效曲线攻击的身份验证绕过 (CVE-2019-11235) * freeradius：eap-pwd：使用反射进行虚假身份验证 (CVE-2019-11234) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

ID	Name	Product	Family	Published	Updated	Severity
127296	NewStart CGSL CORE 5.05 / MAIN 5.05 : freeradius Multiple Vulnerabilities (NS-SA-2019-0083)	Nessus	NewStart CGSL Local Security Checks	8/12/2019	1/14/2021	critical
136005	openSUSE Security Update : freeradius-server (openSUSE-2020-542)	Nessus	SuSE Local Security Checks	4/27/2020	3/14/2024	critical
144257	Virtuozzo 7 : freeradius / freeradius-devel / freeradius-doc / etc (VZLSA-2019-1131)	Nessus	Virtuozzo Local Security Checks	12/15/2020	2/1/2024	critical
127577	Oracle Linux 8 : freeradius:3.0 (ELSA-2019-1142)	Nessus	Oracle Linux Local Security Checks	8/12/2019	10/22/2024	critical
127296	NewStart CGSL CORE 5.05 / MAIN 5.05：freeradius 多个漏洞 (NS-SA-2019-0083)	Nessus	NewStart CGSL Local Security Checks	8/12/2019	1/14/2021	critical
124752	RHEL 7 : freeradius (RHSA-2019:1131)	Nessus	Red Hat Local Security Checks	5/10/2019	11/6/2024	critical
124843	RHEL 8 : freeradius:3.0 (RHSA-2019:1142)	Nessus	Red Hat Local Security Checks	5/13/2019	11/7/2024	critical
125109	Oracle Linux 7 : freeradius (ELSA-2019-1131)	Nessus	Oracle Linux Local Security Checks	5/15/2019	11/1/2024	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical