Рекомендация Debian по безопасности

DSA-3223-1 ntp -- обновление безопасности

Дата сообщения:

12.04.2015

Затронутые пакеты:

ntp

Уязвим:

Да

Ссылки на базы данных по безопасности:

В системе отслеживания ошибок Debian: Ошибка 782095.
В каталоге Mitre CVE: CVE-2015-1798, CVE-2015-1799, CVE-2015-3405.

Более подробная информация:

В ntp, реализации протокола сетевого времени, были обнаружены многочисленные уязвимости:

CVE-2015-1798
При настройке использования симметричного ключа на узле NTP ntpd принимает пакеты без MAC как будто они имеют правильный MAC. Это может позволить удалённому злоумышленнику обойти аутентификацию пакетов и отправить некорректные пакеты, не зная симметричного ключа.
CVE-2015-1799
При взаимодействии с другими узлами NTP с использованием симметричного соединения переменные внутреннего состояния обновляются до проверки MAC сообщений NTP. Это может позволить удалённым злоумышленникам вызвать отказ в обслуживании путём блокировки синхронизации между узлами NTP.

Кроме того, было обнаружено, что создание ключей MD5 с помощью ntp-keygen на машинах с порядком байтов от старшего к младшему либо вызывает бесконечный цикл, либо приводит к созданию предсказуемых ключей.

В стабильном выпуске (wheezy) эти проблемы были исправлены в версии 1:4.2.6.p5+dfsg-2+deb7u4.

В нестабильном выпуске (sid) эти проблемы были исправлены в версии 1:4.2.6.p5+dfsg-7.

Рекомендуется обновить пакеты ntp.