Debians sikkerhedsbulletin

DSA-3108-1 ntp -- sikkerhedsopdatering

Rapporteret den:
20. dec 2014
Berørte pakker:
ntp
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Debians fejlsporingssystem: Fejl 773576.
I Mitres CVE-ordbog: CVE-2014-9293, CVE-2014-9294, CVE-2014-9295, CVE-2014-9296.
Yderligere oplysninger:

Flere sårbarheder blev opdaget i ntp-pakken, en implementering af Network Time Protocol.

  • CVE-2014-9293

    ntpd genererede en svag nøgle til intern brug, med fuldstændige administrative rettigheder. Angribere kunne anvende nøglen til at genopsætte ntpd (eller til at udnytte andre sårbarheder).

  • CVE-2014-9294

    Værktøjet ntp-keygen genererede svagte MD5-nøgler med utilstrækkelig entropi.

  • CVE-2014-9295

    ntpd indeholdt flere bufferoverløb (både på stakken og i datasektionen), hvilket gjorde det muligt for fjernautentificerede angribere at få ntpd til at gå ned eller potentielt udføre vilkårlig kode.

  • CVE-2014-9296

    Den generelle funktion til pakkebehandling i ntpd, håndterede ikke en fejlsituation korrekt.

Debians standardopsætning af ntpd begrænser adgang til localhost (samt muligvis nærtliggende netvæk hvad angår IPv6).

Nøgler eksplicit genereret med ntp-keygen -M bør genereres igen.

I den stabile distribution (wheezy), er disse problemer rettet i version 1:4.2.6.p5+dfsg-2+deb7u1.

Vi anbefaler at du opgraderer dine ntp-pakker.