KB5040268: CVE-2024-3596 に関連付けられている Access-Request のパケット攻撃の脆弱性を管理する方法

Access-Request パケットは、Proxy-State 属性が含まれていたが、Message-Authenticator 属性がないために破棄されました。 Message-Authenticator 属性を含めるように RADIUS クライアントを変更することを検討してください。 または、limitProxyState 構成を使用して RADIUS クライアントの例外を追加します。

これは、Proxy-State が存在する Message-Authenticator 属性を持たない Access-Request パケットの監査イベントです。 Message-Authenticator 属性を含めるように RADIUS クライアントを変更することを検討してください。 RADIUS パケットは、limitproxystate 構成が有効になると破棄されます。

これは、プロキシで Message-Authenticator 属性を指定せずに受信した RADIUS 応答パケットの監査イベントです。 Message-Authenticator 属性に指定された RADIUS サーバーを変更することを検討してください。 RADIUS パケットは、requiremsgauth 構成が有効になると破棄されます。

このイベントは、推奨設定が構成されずに、サービスが開始された時にログに記録されます。 RADIUS ネットワークがセキュリティで保護されていない場合は、設定を有効にすることを検討してください。 セキュリティで保護されたネットワークの場合、これらのイベントは無視できます。

この構成により、NPS プロキシは、すべての Access-Request パケットで Message-Authenticator 属性の送信を開始できます。 この構成を有効にするには、次のいずれかの方法を使用します。

方法 1: NPS Microsoft 管理コンソール (MMC) を使用する

NPS MMC を使用するには、次の手順を実行します:

1. サーバーで NPS ユーザー インターフェイス (UI) を開きます。
2. リモート [Radius サーバー グループ] を開きます。
3. [Radius サーバー] を選択します。
4. [認証/アカウンティング] に移動します。
5. [要求に Message-Authenticator 属性が含まれている必要があります] チェック ボックスをオンにします。

方法 2: netsh コマンドを使用する

netsh を使用するには、次のコマンドを実行します:

詳細については、「 リモート RADIUS サーバー グループ コマンド」を参照してください。

この構成では、すべての Access-Request パケットに Message-Authenticator 属性を必要とし、存在しない場合はパケットを破棄します。

方法 1: NPS Microsoft 管理コンソール (MMC) を使用する

NPS MMC を使用するには、次の手順を実行します:

1. サーバーで NPS ユーザー インターフェイス (UI) を開きます。
2. [Radius クライアント] を開きます。
3. [Radius クライアント] を選択します。
4. [詳細設定] に移動します。
5. [Access-Request メッセージに message-authenticator 属性を含める必要があります] チェックボックスをオンにします。

詳細については、「 RADIUS クライアントの構成」を参照してください。

方法 2: netsh コマンドを使用する

netsh を使用するには、次のコマンドを実行します:

詳細については、「 リモート RADIUS サーバー グループ コマンド」を参照してください。

この構成により、NPS サーバーは、Proxy-State 属性を含むが、Message-Authenticator 属性を含まない潜在的に脆弱な Access-Request パケットを破棄できます。 この構成では、次の 3 つのモードがサポートされます:

• 監査
• Enable
• 無効にする

Audit モードでは、警告イベント (イベント ID: 4419) がログに記録されますが、要求は引き続き処理されます。 このモードを使用して、要求を送信する非準拠エンティティを識別します。

netsh コマンドを使用して、必要に応じて例外を構成、有効化、追加します。

1. クライアントを Audit モードで構成するには、次のコマンドを実行します:

   注

   netsh nps set limitproxystate all = "audit"

2. Enable モードでクライアントを構成するには、次のコマンドを実行します。

   注

   netsh nps set limitproxystate all = "enable"

3. limitProxystate 検証からクライアントを除外する例外を追加するには、次のコマンドを実行します。

   注

   netsh nps set limitproxystate name = <client name> exception = "Yes"

この構成により、NPS プロキシは、 Message-Authenticator 属性を持たない、潜在的に脆弱な応答メッセージを破棄できます。 この構成では、次の 3 つのモードがサポートされます:

• 監査
• Enable
• Disable

Audit モードでは、警告イベント (イベント ID: 4420) がログに記録されますが、要求は引き続き処理されます。 このモードを使用して、応答を送信する非準拠エンティティを識別します。

netsh コマンドを使用して、必要に応じて例外を構成、有効化、追加します。

1. Audit モードでサーバーを構成するには、次のコマンドを実行します:

   注

   netsh nps set requiremsgauth all = "audit"

2. すべてのサーバーの構成を有効にするには、次のコマンドを実行します:

   注

   netsh nps set requiremsgauth all = "enable"

3. サーバーを requireauthmsg 検証から除外する例外を追加するには、次のコマンドを実行します:

   注

   netsh nps set requiremsgauth remoteservergroup = <リモート サーバー グループ名> address = <server address> exception = "yes"

NPS モジュール イベントで関連イベントを確認します。 影響を受けているクライアント/サーバーの例外または構成の調整を追加することを検討してください。

いいえ。この記事で説明する構成は、セキュリティで保護されていないネットワークに対して推奨されるものです。

この資料に記載されているサードパーティ製品は、マイクロソフトと関連のない他社の製品です。 明示的か黙示的かにかかわらず、これらの製品のパフォーマンスや信頼性についてマイクロソフトはいかなる責任も負わないものとします。

Microsoft は、ユーザーがテクニカル サポートを見つけるため、サード パーティの連絡先を提供しています。 将来予告なしに変更されることがあります。 Microsoft は、サード パーティの連絡先情報の正確性を保証していません。