Die angesprochene Lücke CVE-2024-3596 bezieht sich nicht nur auf ClearPass, sondern auf das RADIUS-Protokoll selbst.
Hiervon sind deutlich mehr betroffen, als nur ClearPass.
Zitat: "Blast-RADIUS is a protocol vulnerability, and thus affects all RADIUS implementations using non-EAP authentication methods over UDP."
Quelle: https://www.blastradius.fail/
So nennt Cisco beispielsweise auch die ISE als betroffen:
https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-radius-spoofing-july-2024-87cCDwZ3
Grundsätzlich bin ich der Überzeugung, dass derartige Produkte in seperate Netzwerke (Layer 2) gehören und nicht von Clients und Co erreichbar sein sollten. Allein dies erschwert eine MitM-Attacke immens.
Zudem ist genau dies auch als Workaround im verlinkten Dokument genannt:
"Workaround: To minimize the likelihood of an attacker exploiting
this vulnerability, HPE Aruba Networking recommends that the
web-based management interfaces be restricted to a dedicated layer
2 segment/VLAN and/or controlled by firewall policies at layer 3
and above."