公開日：2009/12/09 最終更新日：2010/01/28
JVNVU#568372
NTP におけるサービス運用妨害 (DoS) の脆弱性
NTP には、mode 7 パケットの処理に起因する脆弱性が存在します。
- NTP 4.2.4p8 より前のバージョン
NTP では、"restrict ... noquery" や "restrict ... ignore" の設定による制限をしていない IP アドレスから、不正な mode 7 リクエストまたは mode 7 エラーレスポンスを受信した場合、mode 7 エラーメッセージを返し、ログに記録します。
NTP には、送信元アドレスを詐称した mode 7 パケットの処理に起因する脆弱性が存在します。
遠隔の第三者によって、サービス運用妨害 (DoS) 攻撃を受ける可能性があります。
アップデートする
開発者が提供する情報をもとに最新版にアップデートしてください。
ワークアラウンドを実施する
対策版を適用するまでの間、以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
- NTP の設定で送信元アドレスの制限を行う
- 送信元と宛先の両方を 123 番ポートに指定しているパケットをフィルタリングする
- IP アドレスのアンチスプーフィングフィルタを利用する
| ベンダ | ステータス | ステータス 最終更新日 |
ベンダの告知ページ |
|---|---|---|---|
| 富士通 | 該当製品あり:調査中 | 2010/01/14 | |
| 株式会社インターネットイニシアティブ | 該当製品あり | 2009/12/09 | |
| 日本電気 | 該当製品あり | 2010/01/27 |
| ベンダ | リンク |
| Network Time Protocol project | NTP Software Downloads |
| Security Notice - DoS attack from certain NTP mode 7 packets |
- US-CERT - Vulnerability Note VU#568372
NTP mode 7 denial-of-service vulnerability
2009.12.09における脆弱性分析結果
| 評価尺度 | 攻撃成立条件 | 評価値 |
|---|---|---|
| 攻撃経路 | インターネット経由からの攻撃が可能。 |
|
| 認証レベル | 匿名もしくは認証なしで攻撃が可能。 |
|
| 攻撃成立に必要なユーザーの関与 | ユーザが何もしなくても攻撃される可能性あり。 |
|
| 攻撃の難易度 | ある程度の専門的知識や運が必要。 |
|
| JPCERT 緊急報告 | |
| JPCERT REPORT | |
| CERT Advisory | |
| CPNI Advisory | |
| TRnotes | |
| CVE | CVE-2009-3563 |
| JVN iPedia |
- 2009/12/09
- 対策方法の誤植を修正しました。
- 2009/12/10
- 日本電気の JVNVU#568372への対応が更新されました。
- 2010/01/15
- 富士通の JVNVU#568372への対応が更新されました。
- 2010/01/28
- 日本電気の JVNVU#568372への対応が更新されました。
