Debian DLA-116-1：ntp 安全性更新

high Nessus Plugin ID 82099

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

在 ntp 套件 (網路時間通訊協定的實作) 中發現數個弱點。

CVE-2014-9293

ntpd 產生了含有完整系統管理員權限的弱式金鑰以供內部使用。攻擊者可利用此金鑰重新設定 ntpd (或惡意利用其他弱點)。

CVE-2014-9294

ntp-keygen 公用程式產生了熵不足的弱式 MD5 金鑰。

CVE-2014-9295

ntpd 有數個緩衝區溢位 (堆疊和資料區段中皆有)，進而允許經驗證的遠端攻擊者損毀 ntpd 或可能執行任意程式碼。

CVE-2014-9296

ntpd 中的一般封包處理函式未正確處理一個錯誤情形。

Debian 中的預設 ntpd 組態會限制 localhost 的存取 (使用 IPv6 時也可能會限制鄰近網路)。

應重新產生明確由「ntp-keygen -M」產生的金鑰。

針對舊的穩定發行版本 (squeeze)，這些問題已在 4.2.6.p2+dfsg-1+deb6u1 版本中修正。

我們建議您升級 heirloom-mailx 套件。

感謝 Florian Weimer 提供 Red Hat 安全性更新。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。