SUSE SLED12 / SLES12 安全性更新:ntp (SUSE-SU-2016:1568-1)

critical Nessus Plugin ID 91663
新推出!Plugin 嚴重性目前使用 CVSS v3

計算 Plugin 嚴重性已更新為預設使用 CVSS v3 沒有 CVSS v3 評分的 Plugin 會回歸到以 CVSS v2 計算嚴重性。您可在設定下拉式選單中切換顯示嚴重性的喜好設定

Synopsis

遠端 SUSE 主機缺少一個或多個安全性更新。

描述

ntp 已更新至 4.2.8p8 版,修正了 17 個安全性問題。

已修正這些安全性問題:

- CVE-2016-4956:廣播交錯 (bsc#982068)。

- CVE-2016-2518:hmode > 7 的特製 addpeer 造成 MATCH_ASSOC 陣列換行 (bsc#977457)。

- CVE-2016-2519:未一律檢查 ctl_getitem() 傳回值 (bsc#977458)。

- CVE-2016-4954:處理偽造的伺服器封包 (bsc#982066)。

- CVE-2016-4955:自動金鑰關聯重設 (bsc#982067)。

- CVE-2015-7974:NTP 驗證封包時未驗證對稱式金鑰的對等關聯,其可允許遠端攻擊者透過任意受信任金鑰發動模擬攻擊,即「skeleton key」(bsc#962960)。

- CVE-2016-4957:CRYPTO_NAK 損毀 (bsc#982064)。

- CVE-2016-2516:unconfig 指示詞中的重複 IP 會造成宣告 botch (bsc#977452)。

- CVE-2016-2517:未正確驗證遠端組態 trustedkey/requestkey 值 (bsc#977455)。

- CVE-2016-4953:錯誤驗證取消調動了暫時關聯性 (bsc#982065)。

- CVE-2016-1547:CRYPTO-NAK DoS (bsc#977459)。

- CVE-2016-1551:Refclock 模擬弱點,即 refclock-peering (bsc#977450)。

- CVE-2016-1550:改善緩衝區比較定時攻擊、authdecrypt-timing 的 NTP 安全性,即
authdecrypt-timing (bsc#977464)。

- CVE-2016-1548:Interleave-pivot - 僅可減輕影響 (bsc#977461)。

- CVE-2016-1549:Sybil 弱點:暫時關聯攻擊,即 ntp-sybil - 僅可減輕影響 (bsc#977451)。

此版本也包含已改善的 CVE-2015-7704、CVE-2015-7705、CVE-2015-7974 修補程式。

已修正下列非安全性錯誤:

- bsc#979302:變更分支處理 DNS 背景工作處理程序的處理程序名稱以避免產生 ntpd 啟動兩次的印象。

- bsc#981422:不忽略 SIGCHILD,因為它中斷了 wait()。

- bsc#979981:ntp-wait 不接受分數秒數,所以在 ntp-wait.service 中使用 1 來取代 0.2。

- 分隔 ntp.金鑰及其中金鑰 #1 的建立,以避免升級安裝中有檔案但無金鑰 #1 時發生問題,例如「rcntp addserver」等項目都需要這樣做。

- bsc#957226:限制啟動指令碼的剖析器,使其僅針對 ntp.conf 中第一次出現的「keys」和「controlkey」。

請注意,Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下,嘗試自動清理並將其格式化。

解決方案

若要安裝此 SUSE 安全性更新,請使用 YaST online_update。
或者,也可以執行針對您的產品所列的命令:

SUSE Linux Enterprise Server 12:

zypper in -t patch SUSE-SLE-SERVER-12-2016-933=1

SUSE Linux Enterprise Desktop 12:

zypper in -t patch SUSE-SLE-DESKTOP-12-2016-933=1

若要使您的系統保持在最新狀態,請使用「zypper 修補程式」。

另請參閱

https://bugzilla.suse.com/show_bug.cgi?id=957226

https://bugzilla.suse.com/show_bug.cgi?id=962960

https://bugzilla.suse.com/show_bug.cgi?id=977450

https://bugzilla.suse.com/show_bug.cgi?id=977451

https://bugzilla.suse.com/show_bug.cgi?id=977452

https://bugzilla.suse.com/show_bug.cgi?id=977455

https://bugzilla.suse.com/show_bug.cgi?id=977457

https://bugzilla.suse.com/show_bug.cgi?id=977458

https://bugzilla.suse.com/show_bug.cgi?id=977459

https://bugzilla.suse.com/show_bug.cgi?id=977461

https://bugzilla.suse.com/show_bug.cgi?id=977464

https://bugzilla.suse.com/show_bug.cgi?id=979302

https://bugzilla.suse.com/show_bug.cgi?id=979981

https://bugzilla.suse.com/show_bug.cgi?id=981422

https://bugzilla.suse.com/show_bug.cgi?id=982064

https://bugzilla.suse.com/show_bug.cgi?id=982065

https://bugzilla.suse.com/show_bug.cgi?id=982066

https://bugzilla.suse.com/show_bug.cgi?id=982067

https://bugzilla.suse.com/show_bug.cgi?id=982068

https://www.suse.com/security/cve/CVE-2015-7704/

https://www.suse.com/security/cve/CVE-2015-7705/

https://www.suse.com/security/cve/CVE-2015-7974/

https://www.suse.com/security/cve/CVE-2016-1547/

https://www.suse.com/security/cve/CVE-2016-1548/

https://www.suse.com/security/cve/CVE-2016-1549/

https://www.suse.com/security/cve/CVE-2016-1550/

https://www.suse.com/security/cve/CVE-2016-1551/

https://www.suse.com/security/cve/CVE-2016-2516/

https://www.suse.com/security/cve/CVE-2016-2517/

https://www.suse.com/security/cve/CVE-2016-2518/

https://www.suse.com/security/cve/CVE-2016-2519/

https://www.suse.com/security/cve/CVE-2016-4953/

https://www.suse.com/security/cve/CVE-2016-4954/

https://www.suse.com/security/cve/CVE-2016-4955/

https://www.suse.com/security/cve/CVE-2016-4956/

https://www.suse.com/security/cve/CVE-2016-4957/

http://www.nessus.org/u?d6763acc

Plugin 詳細資訊

嚴重性: Critical

ID: 91663

檔案名稱: suse_SU-2016-1568-1.nasl

版本: 2.18

類型: local

代理程式: unix

已發布: 2016/6/17

已更新: 2021/1/6

相依性: ssh_get_info.nasl

風險資訊

VPR

風險因素: Medium

分數: 5.9

CVSS v2

風險因素: High

基本分數: 7.5

時間分數: 5.5

媒介: AV:N/AC:L/Au:N/C:P/I:P/A:P

時間媒介: E:U/RL:OF/RC:C

CVSS v3

風險因素: Critical

基本分數: 9.8

時間分數: 8.5

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

時間媒介: E:U/RL:O/RC:C

弱點資訊

CPE: p-cpe:/a:novell:suse_linux:ntp, p-cpe:/a:novell:suse_linux:ntp-debuginfo, p-cpe:/a:novell:suse_linux:ntp-debugsource, p-cpe:/a:novell:suse_linux:ntp-doc, cpe:/o:novell:suse_linux:12

必要的 KB 項目: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2016/6/14

弱點發布日期: 2016/1/26

參考資訊

CVE: CVE-2015-7704, CVE-2015-7705, CVE-2015-7974, CVE-2016-1547, CVE-2016-1548, CVE-2016-1549, CVE-2016-1550, CVE-2016-1551, CVE-2016-2516, CVE-2016-2517, CVE-2016-2518, CVE-2016-2519, CVE-2016-4953, CVE-2016-4954, CVE-2016-4955, CVE-2016-4956, CVE-2016-4957