Säkerhetsbulletin från Debian

DSA-3223-1 ntp -- säkerhetsuppdatering

Rapporterat den:
2015-04-12
Berörda paket:
ntp
Sårbara:
Ja
Referenser i säkerhetsdatabaser:
I Debians felrapporteringssystem: Fel 782095.
I Mitres CVE-förteckning: CVE-2015-1798, CVE-2015-1799, CVE-2015-3405.
Ytterligare information:

Flera sårbarheter har upptäckts i ntp, en implementation av Nätverkstidsprotokollet (Network Time Protocol):

  • CVE-2015-1798

    När ntpd konfigureras att använda en symmetrisk nyckel med en NTP peer accepterar ntpd paket utan MAC-adress som om de hade en giltig MAC-adress. Detta kunde tillåta en fjärrangripare att förbigå paketautentiseringen och skicka illasinnade paket utan att behöva veta den symmetriska nyckeln.

  • CVE-2015-1799

    Vid peering med andra NTP-värdar som använder autentiserad symmetrisk association, kom ntpd att uppdatera sina interna tillståndsvariabler före MAC-adress i NTP-meddelandena validerades. Detta kunde tillåta en fjärrangripare att orsaka en överbelastning genom hämmande synkronisering mellan NTP-peers.

Utöver detta upptäcktes det att generering av MD5-nycklar med hjälp av ntp-keygen på big-endianmaskiner kunde antingen trigga en oändlig loop, eller generera icke-slumpmässiga nycklar.

För den stabila utgåvan (Wheezy) har dessa problem rättats i version 1:4.2.6.p5+dfsg-2+deb7u4.

För den instabila utgåvan (Sid) har dessa problem rättats i version 1:4.2.6.p5+dfsg-7.

Vi rekommenderar att ni uppgraderar era ntp-paket.