JVNVU#96605606
Network Time Protocol daemon (ntpd) に複数の脆弱性

Network Time Protocol (NTP) は、様々なサービスやアプリケーションで時刻を同期するために使用される通信プロトコルです。ntpd には複数の脆弱性が存在します。

• ntpd 4.2.8 およびそれ以前
• ntp-keygen 4.2.7p230 より前のバージョン

スプーフィングによる認証回避 (CWE-290) - CVE-2014-9298
ソースアドレスを IPv6 アドレス ::1 に偽装されると、ACL による制限を回避される可能性があります。

プログラムの異常状態や例外条件を適切に検査しない (CWE-754) - CVE-2014-9297
ntp_crypto.c において拡張フィールドの長さ (vallen) の値が正しく検証されていないため、情報漏えいやプログラムの異常終了が発生する可能性があります。

PRNG における不十分なエントロピー (CWE-332) - CVE-2014-9293
ntp.conf ファイルで auth key が設定されていない場合、暗号強度の不十分なデフォルト鍵が生成されます。

暗号における脆弱な PRNG の使用 (CWE-338) - CVE-2014-9294
4.2.7p230 より前のバージョンの ntp-keygen は、弱いシード値で暗号論的に不適切な乱数生成器を使い、対称鍵を生成します。

スタックバッファオーバーフロー (CWE-121) - CVE-2014-9295
ntpd の crypto_recv() (autokey 認証利用時)、ctl_putdata()、および configure() には、細工されたパケットの処理に起因するスタックバッファオーバーフローの脆弱性が存在します。

エラー条件、戻り値、状態コード (CWE-389) - CVE-2014-9296
ntpd において特定のエラー処理を行うコードに return 式が存在しない箇所が存在するため、エラー発生時に処理が停止しない問題があります。

本脆弱性の詳細については開発者が提供する情報を参照してください。

バッファオーバーフローの脆弱性により、ntpd の実行権限で任意のコードが実行される可能性があります。また、ntp-keygen における弱いデフォルト鍵および暗号論的に強度が不十分な乱数生成器の使用により、完全性の検証と認証付き暗号スキームに関する情報を取得される可能性があります。

アップデートする
これらの脆弱性は、NTP 4.2.8p1 で修正されています。
開発者が提供する情報をもとに、最新版へアップデートしてください。

ステータスクエリを制限する
[ntp:announce] ntp-4.2.8 is available において、次のように記載されています。

The vulnerabilities listed below can be significantly mitigated by following the BCP of putting

restrict default ... noquery

in the ntp.conf file.  With the exception of:

  receive(): missing return on error
  References: Sec 2670 / CVE-2014-9296 / VU#852879

below (which is a limited-risk vulnerability), none of the recent vulnerabilities listed below can be exploited if the source IP is restricted from sending a 'query'-class packet by your ntp.conf file.