CVE-2015-1853、CVE-2015-1821、CVE-2015-1822 的安全性修正

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

現已提供適用於 Red Hat Enterprise Linux 7 的更新版 chrony 套件，可修正三個安全性問題、數個錯誤，並新增多種增強功能。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

chrony 套件 (chronyd 和 chronyc) 是一種網路時間通訊協定 (NTP) 實作，特別設計用於支援具有間歇性連線功能的系統。可將系統時鐘與 NTP 伺服器、硬體參照時鐘和手動輸入值同步。
也可作為 NTPv4 (RFC 5905) 伺服器或對等節點，向網路中的其他電腦提供時間服務。

設定 NTP 或 cmdmon 存取時，chrony 用於儲存特定位址的方法有一個超出邊界寫入瑕疵。若攻擊者具有命令金鑰且可存取 cmdmon (預設為僅允許 localhost)，即可利用此瑕疵造成 chronyd 損毀，甚至可能以 chronyd 處理程序的權限，執行任意程式碼。
(CVE-2015-1821)

為儲存經過驗證之命令要求中尚未認可的回應，配置記憶體時，發現一個未初始化的指標使用瑕疵。若攻擊者具有命令金鑰且可存取 cmdmon (預設為僅允許 localhost)，即可利用此瑕疵造成 chronyd 損毀，甚至可能以 chronyd 處理程序的權限，執行任意程式碼。(CVE-2015-1822)

在更新內部狀態變數之前，與彼此對等的 chrony 主機用於自行為驗證的方法有一個拒絕服務瑕疵。攻擊者可將封包傳送至一個對等主機，這可能與其他對等主機重疊顯示，並停止可觸及之對等主機的同步處理程序。(CVE-2015-1853)

這些問題是由 Red Hat 的 Miroslav Lichvár 發現。

chrony 套件已升級至 2.1.1 上游版本，其中針對舊版提供數個錯誤修正和增強功能。值得注意的增強功能包括：

* 已更新至 NTP 版本 4 (RFC 5905)

* 已新增集區指示詞，可指定 NTP 伺服器集區

* 已新增 leapsecmode 指示詞，可選取如何更正閏秒時鐘

* 已新增 smoothtime 指示詞，可順暢消除提供的時間，並啟用閏秒彌補

* 已新增具有 POSIX 執行緒的非同步名稱解析

* 可供 2036 年份使用 (下一個 NTP 紀元)

* 已改善時鐘控制

* 已重新執行網路程式碼，為每個 NTP 伺服器開放獨立的用戶端通訊端

(BZ#1117882)

此更新也可修正下列錯誤：

* chronyd 服務先前會假設在服務啟動時，以‘bindaddress’指示詞指定的網路介面已準備就緒。這可能導致在介面尚未準備就緒的情況下，chronyd 無法將 NTP 伺服器通訊端繫結至介面。透過此更新，chronyd 會使用 IP_FREEBIND 通訊端選項，並支援可在稍後再將其繫結至介面，而不只是在服務啟動時繫結。
(BZ#1169353)

此外，此更新還新增了下列增強功能：

* chronyd 服務現已支援四種處理閏秒的模式，並設定為使用‘leapsecmode’選項。時鐘可設為讓核心跨過 (此為預設的‘system’模式)；讓 chronyd 跨過 (’step’模式)；藉由輪轉緩慢調整 (’slew’模式)；或是將閏秒忽略，稍後再於正常作業中予以更正 (’ignore’模式)。如果您選取輪轉，校正將一律從 00:00:00 UTC 開始，且將以‘maxslewrate’選項中指定的速率進行套用。(BZ#1206504)

建議所有 chrony 使用者皆升級至這些更新版套件，其可更正這些問題並新增這些增強功能。

Red Hat 的 Miroslav Lichvar 在 chrony (替代 NTP 用戶端及伺服器) 中發現多個弱點：

- CVE-2015-1821 設定存取控制時若使用特定 address/subnet 配對，可造成無效的記憶體寫入。這可允許攻擊者造成拒絕服務 (當機) 或執行任意程式碼。

- CVE-2015-1822 為了將尚未認可的回覆儲存至已驗證的命令要求而配置記憶體時，指標會維持未初始化狀態，這可觸發無效的記憶體寫入。這可允許攻擊者造成拒絕服務 (當機) 或執行任意程式碼。

- CVE-2015-1853 使用經驗證的對稱式關聯與其他 NTP 主機建立對等關係時，內部狀態變數會在驗證 NTP 訊息的 MAC 前更新。這會讓遠端攻擊者妨礙 NTP 對等節點之間的同步作業，進而引發拒絕服務。

根據上游報告：

當使用無法由 4 整除的子網路大小和 4 位元子網路餘數中有非零位元的位址 (例如 192.168.15.0/22 或 f000::/3) 設定 NTP 或 cmdmon 存取 (從 chrony.conf 或透過經驗證的 cmdmon) 時，
會將新設定寫入錯誤的位置，可能超出配置陣列。若攻擊者具有命令金鑰且可存取 cmdmon (預設為僅允許 localhost)，即可惡意利用此瑕疵造成 chronyd 損毀，或可能以 chronyd 處理程序的權限，執行任意程式碼。(CVE-2015-1821)

當為了儲存尚未認可的回覆至已驗證的命令要求而配置記憶體時，最後的「下一個」指標並未初始化至 NULL。
當用完全部配置的回覆位置時，下一個回覆可能被寫入無效的記憶體，而非為此配置新的位置。
若攻擊者具有命令金鑰且可存取 cmdmon (預設為僅允許 localhost)，即可惡意利用此瑕疵造成 chronyd 損毀，或可能以 chronyd 處理程序的權限，執行任意程式碼。(CVE-2015-1822)

若攻擊者知道 NTP 主機 A 和 B 彼此對等 (對稱式關聯)，就能傳送具有隨機時間戳記的封包至具有 B 來源位址的主機 A，進而將 A 上的 NTP 狀態變數設為攻擊者傳送的值。主機 A 接著會在下一次輪詢時將具有原始時間戳記的封包傳送至 B，但此封包與 B 的傳輸時間戳記不符而會造成封包中斷。如果攻擊者定期如此對待兩個主機，彼此便將無法同步。使用對稱金鑰的驗證可完全防止此攻擊，但在遵循 NTPv3 (RFC 1305) 或 NTPv4 (RFC 5905) 規格的實作中，即使驗證檢查失敗且關聯性未受到保護，仍會更新狀態變數。(CVE-2015-1853)

執行 MAIN 6.02 版的遠端 NewStart CGSL 主機上安裝的 chrony 套件受到多個弱點影響：

  - Chrony 1.29 之前版本的 pktlength.c 中存在多個整數溢位問題，遠端攻擊者可藉此透過對 PKL_CommandLength 函式的建構 (1) REQ_SUBNETS_ACCESSED 或 (2) REQ_CLIENT_ACCESSES 命令要求，或對 PKL_ReplyLength 函式的建構 (3) RPY_SUBNETS_ACCESSED、(4) RPY_CLIENT_ACCESSES、(5) RPY_CLIENT_ACCESSES_BY_INDEX 或 (6) RPY_MANUAL_LIST 命令回覆，觸發超出邊界讀取或緩衝區溢位，進而造成拒絕服務 (當機)。注意：無需驗證即可利用 1.27 和 1.28 版。(CVE-2012-4502)

  - 遠端攻擊者可利用 Chrony 1.29 之前版本的 cmdmon.c，透過與 (1) 對 handle_subnets_accessed 函式的 RPY_SUBNETS_ACCESSED 中命令無效子網或 (2) 用戶端記錄停用時對 handle_client_accesses 函式的 RPY_CLIENT_ACCESSES 命令有關的向量，造成回覆包含未初始化的資料，進而從堆疊記憶體中取得潛在敏感資訊。
    (CVE-2012-4503)

  - Chrony 1.29.1 之前版本的 cmdmon 通訊協定中存在流量放大問題 (CVE-2014-0021)

  - 1.31.1 版之前的 chrony 中有堆積型緩衝區溢位問題，允許經驗證的遠端使用者將 (1) NTP 或 (2) cmdmon 存取權設定為不可被四整除的子網路大小和子網路餘數中具有非零位元的位址，進而造成拒絕服務 (chronyd 損毀) 或可能執行任意程式碼。
    (CVE-2015-1821)

  - 儲存未確認的命令要求回覆時， 1.31.1 版之前的 chrony 未初始化最後一個下一個指標，其允許經驗證的遠端使用者透過大量命令要求造成拒絕服務 (未初始化的指標解除參照和程序損毀)，或可能執行任意程式碼。(CVE-2015-1822)

  - 1.31.1 版之前的 chrony 未正確保護經驗證的對稱 NTP 關聯中的狀態變數，這會允許知道 NTP 對等的遠端攻擊者透過特製的 NTP 資料封包中的隨機時間戳記造成拒絕服務 (無法同步)。(CVE-2015-1853)

  - 1.31.2 版之前及 2.2.1 之前的 2.x 版 chrony 驗證封包時未驗證對稱式金鑰的對等關聯，其可允許遠端攻擊者透過任意受信任金鑰發動模擬攻擊，即「skeleton key」。(CVE-2016-1567)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

設定 NTP 或 cmdmon 存取時，chrony 用於儲存特定位址的方法有一個超出邊界寫入瑕疵。若攻擊者具有命令金鑰且可存取 cmdmon (預設為僅允許 localhost)，即可利用此瑕疵造成 chronyd 損毀，甚至可能以 chronyd 處理程序的權限，執行任意程式碼。
(CVE-2015-1821)

為儲存經過驗證之命令要求中尚未認可的回應，配置記憶體時，發現一個未初始化的指標使用瑕疵。若攻擊者具有命令金鑰且可存取 cmdmon (預設為僅允許 localhost)，即可利用此瑕疵造成 chronyd 損毀，甚至可能以 chronyd 處理程序的權限，執行任意程式碼。(CVE-2015-1822)

在更新內部狀態變數之前，與彼此對等的 chrony 主機用於自行為驗證的方法有一個拒絕服務瑕疵。攻擊者可將封包傳送至一個對等主機，這可能與其他對等主機重疊顯示，並停止可觸及之對等主機的同步處理程序。(CVE-2015-1853)

chrony 套件已升級至 2.1.1 上游版本，其中針對舊版提供數個錯誤修正和增強功能。值得注意的增強功能包括：

- 已更新至 NTP 版本 4 (RFC 5905)

- 已新增集區指示詞，可指定 NTP 伺服器集區

- 已新增 leapsecmode 指示詞，可選取如何更正閏秒時鐘

- 已新增 smoothtime 指示詞，可順暢消除提供的時間，並啟用閏秒彌補

- 已新增具有 POSIX 執行緒的非同步名稱解析

- 已可供 2036 年份使用 (下一個 NTP 紀元)

- 已改善時鐘控制

- 已重新執行網路程式碼，為每個 NTP 伺服器開放獨立的用戶端通訊端

此更新也可修正下列錯誤：

- chronyd 服務先前會假設在服務啟動時，以‘bindaddress’指示詞指定的網路介面已準備就緒。這可能導致在介面尚未準備就緒的情況下，chronyd 無法將 NTP 伺服器通訊端繫結至介面。透過此更新，chronyd 會使用 IP_FREEBIND 通訊端選項，並支援可在稍後再將其繫結至介面，而不只是在服務啟動時繫結。

此外，此更新還新增了下列增強功能：

- chronyd 服務現已支援四種處理閏秒的模式，並設定為使用‘leapsecmode’選項。
 時鐘可設為讓核心跨過 (此為預設的‘system’模式)；讓 chronyd 跨過 (’step’模式)；藉由輪轉緩慢調整 (’slew’模式)；或是將閏秒忽略，稍後再於正常作業中予以更正 (’ignore’模式)。如果您選取輪轉，校正將一律從 00:00:00 UTC 開始，且將以‘maxslewrate’選項中指定的速率進行套用。

來自 Red Hat 安全性公告 2015:2241：

現已提供適用於 Red Hat Enterprise Linux 7 的更新版 chrony 套件，可修正三個安全性問題、數個錯誤，並新增多種增強功能。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

chrony 套件 (chronyd 和 chronyc) 是一種網路時間通訊協定 (NTP) 實作，特別設計用於支援具有間歇性連線功能的系統。可將系統時鐘與 NTP 伺服器、硬體參照時鐘和手動輸入值同步。
也可作為 NTPv4 (RFC 5905) 伺服器或對等節點，向網路中的其他電腦提供時間服務。

設定 NTP 或 cmdmon 存取時，chrony 用於儲存特定位址的方法有一個超出邊界寫入瑕疵。若攻擊者具有命令金鑰且可存取 cmdmon (預設為僅允許 localhost)，即可利用此瑕疵造成 chronyd 損毀，甚至可能以 chronyd 處理程序的權限，執行任意程式碼。
(CVE-2015-1821)

為儲存經過驗證之命令要求中尚未認可的回應，配置記憶體時，發現一個未初始化的指標使用瑕疵。若攻擊者具有命令金鑰且可存取 cmdmon (預設為僅允許 localhost)，即可利用此瑕疵造成 chronyd 損毀，甚至可能以 chronyd 處理程序的權限，執行任意程式碼。(CVE-2015-1822)

在更新內部狀態變數之前，與彼此對等的 chrony 主機用於自行為驗證的方法有一個拒絕服務瑕疵。攻擊者可將封包傳送至一個對等主機，這可能與其他對等主機重疊顯示，並停止可觸及之對等主機的同步處理程序。(CVE-2015-1853)

這些問題是由 Red Hat 的 Miroslav Lichvár 發現。

chrony 套件已升級至 2.1.1 上游版本，其中針對舊版提供數個錯誤修正和增強功能。值得注意的增強功能包括：

* 已更新至 NTP 版本 4 (RFC 5905)

* 已新增集區指示詞，可指定 NTP 伺服器集區

* 已新增 leapsecmode 指示詞，可選取如何更正閏秒時鐘

* 已新增 smoothtime 指示詞，可順暢消除提供的時間，並啟用閏秒彌補

* 已新增具有 POSIX 執行緒的非同步名稱解析

* 可供 2036 年份使用 (下一個 NTP 紀元)

* 已改善時鐘控制

* 已重新執行網路程式碼，為每個 NTP 伺服器開放獨立的用戶端通訊端

(BZ#1117882)

此更新也可修正下列錯誤：

* chronyd 服務先前會假設在服務啟動時，以‘bindaddress’指示詞指定的網路介面已準備就緒。這可能導致在介面尚未準備就緒的情況下，chronyd 無法將 NTP 伺服器通訊端繫結至介面。透過此更新，chronyd 會使用 IP_FREEBIND 通訊端選項，並支援可在稍後再將其繫結至介面，而不只是在服務啟動時繫結。
(BZ#1169353)

此外，此更新還新增了下列增強功能：

* chronyd 服務現已支援四種處理閏秒的模式，並設定為使用‘leapsecmode’選項。時鐘可設為讓核心跨過 (此為預設的‘system’模式)；讓 chronyd 跨過 (’step’模式)；藉由輪轉緩慢調整 (’slew’模式)；或是將閏秒忽略，稍後再於正常作業中予以更正 (’ignore’模式)。如果您選取輪轉，校正將一律從 00:00:00 UTC 開始，且將以‘maxslewrate’選項中指定的速率進行套用。(BZ#1206504)

建議所有 chrony 使用者皆升級至這些更新版套件，其可更正這些問題並新增這些增強功能。

遠端主機受到 GLSA-201507-01 中所述的弱點影響 (chrony：多個弱點)

在 chrony 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。
 影響：

遠端攻擊者可造成任意遠端程式碼執行或拒絕服務情形。
 因應措施：

目前尚無已知的因應措施。

CVE-2015-1853：

防止經驗證的對稱式 NTP 關聯性遭受 DoS 攻擊。

若攻擊者知道 NTP 主機 A 和 B 彼此對等 (對稱式關聯)，就能傳送具有隨機時間戳記的封包至具有 B 來源位址的主機 A，進而將 A 上的 NTP 狀態變數設為攻擊者傳送的值。主機 A 接著會在下一次輪詢時將具有原始時間戳記的封包傳送至 B，但此封包與 B 的傳輸時間戳記不符而會造成封包中斷。如果攻擊者定期如此對待兩個主機，彼此便將無法同步。此為拒絕服務攻擊。

根據 [1]，NTP 驗證應能防止對稱式關聯性遭受此攻擊，但在 NTPv3 (RFC 1305) 和 NTPv4 (RFC 5905) 規格中，狀態變數會在執行驗證檢查前進行更新，這表示即使在啟用驗證時，關聯性也容易受到攻擊。

若要修正此問題，請僅在通過驗證檢查 (test5) 後儲存原始和本機時間戳記。

[1] https://www.eecis.udel.edu/~mills/onwire.html

CVE-2015-1821：

修正子網路大小無法由 4 整除的存取組態。

當使用無法由 4 整除的子網路大小和 4 位元子網路餘數中有非零位元的位址 (例如 192.168.15.0/22 或 f000::/3) 設定 NTP 或 cmdmon 存取 (從 chrony.conf 或透過經驗證的 cmdmon) 時，會將新設定寫入錯誤的位置，可能超出配置陣列。

若攻擊者具有命令金鑰且可存取 cmdmon (預設為僅允許 localhost)，即可惡意利用此瑕疵造成 chronyd 損毀，或可能以 chronyd 處理程序的權限，執行任意程式碼。

CVE-2015-1822：

修正經驗證命令之回覆位置的初始化。

當為了儲存尚未認可的回覆至已驗證的命令要求而配置記憶體時，最後的「下一個」指標並未初始化至 NULL。當用完全部配置的回覆位置時，下一個回覆可能被寫入無效的記憶體，而非為此配置新的位置。

若攻擊者具有命令金鑰且可存取 cmdmon (預設為僅允許 localhost)，即可惡意利用此瑕疵造成 chronyd 損毀，或可能以 chronyd 處理程序的權限，執行任意程式碼。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Chrony News 報告：

CVE-2015-1853：經驗證的對稱式 NTP 關聯性遭受 DoS 攻擊

CVE-2015-1821：存取組態中的堆積型緩衝區溢位

CVE-2015-1822：在命令處理中使用未初始化指標

ID	名稱	產品	系列	已發布	已更新	嚴重性
83067	Fedora 20 : chrony-1.31.1-1.fc20 (2015-5809)	Nessus	Fedora Local Security Checks	2015/4/27	2021/1/11	medium
86978	RHEL 7 : chrony (RHSA-2015:2241)	Nessus	Red Hat Local Security Checks	2015/11/20	2019/12/18	medium
82744	Debian DSA-3222-1：chrony - 安全性更新	Nessus	Debian Local Security Checks	2015/4/14	2021/1/11	medium
83007	Fedora 22：chrony-2.0-0.3.pre2.fc22 (2015-5748)	Nessus	Fedora Local Security Checks	2015/4/23	2021/1/11	medium
83009	Fedora 21 : chrony-1.31.1-1.fc21 (2015-5816)	Nessus	Fedora Local Security Checks	2015/4/23	2021/1/11	medium
83978	Amazon Linux AMI : chrony (ALAS-2015-539)	Nessus	Amazon Linux Local Security Checks	2015/6/4	2019/12/18	medium
154559	NewStart CGSL MAIN 6.02：chrony 多個弱點 (NS-SA-2021-0127)	Nessus	NewStart CGSL Local Security Checks	2021/10/27	2023/11/27	high
87146	CentOS 7：chrony (CESA-2015:2241)	Nessus	CentOS Local Security Checks	2015/12/2	2021/1/4	medium
87551	Scientific Linux 安全性更新：SL7.x x86_64 上的 chrony	Nessus	Scientific Linux Local Security Checks	2015/12/22	2021/1/14	medium
87032	Oracle Linux 7：chrony (ELSA-2015-2241)	Nessus	Oracle Linux Local Security Checks	2015/11/24	2021/1/14	medium
84531	GLSA-201507-01：chrony：多個弱點	Nessus	Gentoo Local Security Checks	2015/7/6	2021/1/11	medium
82716	Debian DLA-193-1：chrony 安全性更新	Nessus	Debian Local Security Checks	2015/4/13	2021/1/11	medium
82892	FreeBSD：chrony -- 多個弱點 (c4571ca8-053d-44c9-ab3c-89b1372ad0a5)	Nessus	FreeBSD Local Security Checks	2015/4/20	2021/1/6	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

high

medium

medium

medium

medium

medium

medium