遠端主機受到 GLSA-201509-01 中所述的弱點影響 (NTP：多個弱點)

    在 NTP 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者可能會以處理程序的權限執行任意程式碼，或是造成拒絕服務情形。
  因應措施：

    目前尚無已知的因應措施。

在 ntp 4.2.8p3 之前的版本中，已啟用遠端組態的 ntpd 可讓知道組態密碼以及有受信任執行遠端設定之電腦存取權的經驗證遠端使用者，透過特製組態指示詞封包中的 NULL 位元組造成拒絕服務 (服務當機)。(CVE-2015-5146)

在符合下列所有條件的情況下，攻擊者可使用特製的套件使 ntpd 停止回應：

ntpd 設定已啟用遠端設定。

攻擊者知道設定密碼。

攻擊者擁有受委託執行遠端組態的電腦之存取權。

影響

對於使用預設網路時間通訊協定 (NTP) 設定的 BIG-IP 系統沒有影響。不過，將 NTP 設定自訂為符合公告要求的 BIG-IP 系統則容易遭受攻擊。

根據安裝的 ntp 套件版本，遠端主機上的 EulerOS 安裝會受到下列弱點影響：- NTP 4.2.8p7 之前版本和 4.3.92 之前的 4.3.x 允許遠端攻擊者透過利用知道的 controlkey 或 requestkey，並將特製的封包傳送到 ntpd，造成拒絕服務 (防止後續驗證)，進而變更 trustedkey、controlkey 或 requestkey 的值。注意：此弱點之所以存在，是因為 CVE-2016-2516 迴歸的緣故。(CVE-2016-2517) - NTP 4.2.8p6 之前版本和 4.3.90 之前的 4.3.x 在廣播模式下設定時，允許攔截式攻擊者透過探查網路來發動重新執行攻擊。(CVE-2015-7973) - 在 ntp 4.2.8p3 之前版本中，已啟用遠端組態的 ntpd 可讓知道組態密碼以及有受信任執行遠端設定之電腦存取權的經驗證遠端使用者，透過特製組態指示詞封包中的 NULL 位元組造成拒絕服務 (服務當機)。(CVE-2015-5146) 請注意，Tenable Network Security 已直接從 EulerOS 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 NTP 伺服器的版本是 3.x 版或比 4.2.8p3 舊的 4.x 版。因此，會受到以下弱點影響：- 在 ntp 4.2.8p3 之前版本中，已啟用遠端組態的 ntpd 可讓知道組態密碼以及有受信任執行遠端設定之電腦存取權的經驗證遠端使用者，透過特製組態指示詞封包中的 NULL 位元組造成拒絕服務 (服務當機)。(CVE-2015-1798)

如同上游所述，在 ntpd 處理特定遠端組態封包的方法中發現一個瑕疵。請注意，NTP 預設為停用遠端組態。(CVE-2015-5146)

據發現，:config 命令可用於設定 pidfile 和 driftfile 路徑，而無任何限制。遠端攻擊者可利用此瑕疵，將檔案系統上的檔案覆寫為含有 ntpd 處理程序 pid 的檔案 (立即)，或是系統時鐘目前的預估偏離 (以小時為間隔)。
(CVE-2015-7703)

據發現，ntpd 在處理格式錯誤之 logconfig 組態命令時可能因未初始化的變數而損毀。
(CVE-2015-5194)

據發現，當未啟用的統計資料類型在編譯時 (如 timingstats)
受到統計資料或 filegen 組態命令參照時，ntpd 會因分割錯誤而結束。(CVE-2015-5195)

據發現，當接收特製 NTP 封包時，sntp 會在無限迴圈中懸置，這與將封包的精確度值轉換為雙倍有關。(CVE-2015-5219)

在 ntp-keygen 公用程式於位元組由大到小的系統上產生 MD5 對稱金鑰的方式中發現一個瑕疵。攻擊者可能利用此瑕疵猜測已產生的 MD5 金鑰，然後利用這些金鑰偽造 NTP 用戶端或伺服器。(CVE-2015-3405)

Aleksis Kauppinen 發現 NTP 未正確處理特定遠端 config 封包。在非預設的組態下，經驗證的遠端攻擊者可能利用此問題損毀 NTP，從而引發拒絕服務。(CVE-2015-5146)

Miroslav Lichvar 發現 NTP 未正確處理 logconfig 指示詞。在非預設的組態下，經驗證的遠端攻擊者可能利用此問題損毀 NTP，從而引發拒絕服務。(CVE-2015-5194)

Miroslav Lichvar 發現 NTP 未正確處理特定統計資料類型。在非預設的組態下，經驗證的遠端攻擊者可能利用此問題損毀 NTP，從而引發拒絕服務。(CVE-2015-5195)

Miroslav Lichvar 發現 NTP 未正確處理特定檔案路徑。在非預設的組態下，經過驗證的遠端攻擊者可能利用此問題損毀 NTP，從而導致拒絕服務或覆寫特定檔案。(CVE-2015-5196、CVE-2015-7703)

Miroslav Lichvar 發現 NTP 未正確處理特定封包。遠端攻擊者可能利用此問題造成 NTP 懸置，從而導致拒絕服務。(CVE-2015-5219)

Aanchal Malhotra、Isaac E. Cohen 和 Sharon Goldberg 發現，NTP 未正確處理達到錯誤閾值後的重新啟動作業。遠端攻擊者可能利用此問題，修改用戶端上的系統時間。(CVE-2015-5300)

據發現，NTP 並未正確處理 autokey 資料封包。遠端攻擊者可能利用此問題造成 NTP 損毀，進而造成拒絕服務或可能執行任意程式碼。
(CVE-2015-7691, CVE-2015-7692, CVE-2015-7702)

據發現，NTP 處理特定 autokey 訊息時，未正確處理記憶體。遠端攻擊者可能利用此問題造成 NTP 消耗記憶體，進而導致拒絕服務。(CVE-2015-7701)

Aanchal Malhotra、Isaac E. Cohen 和 Sharon Goldberg 發現，NTP 未正確處理速率限制。遠端攻擊者可能利用此問題，造成用戶端停止更新時鐘資訊。
(CVE-2015-7704、CVE-2015-7705)

Yves Younan 發現 NTP 未正確處理 logfile 和金鑰檔指示詞。在非預設的組態下，經過驗證的遠端攻擊者可能利用此問題，造成 NTP 進入迴圈，從而導致拒絕服務。(CVE-2015-7850)

Yves Younan 和 Aleksander Nikolich 發現 NTP 未正確處理 ascii 轉換。遠端攻擊者可能利用此問題造成 NTP 損毀，進而造成拒絕服務或可能執行任意程式碼。(CVE-2015-7852)

Yves Younan 發現 NTP 未正確處理參照時鐘記憶體。惡意的 refclock 可能利用此問題造成 NTP 損毀，進而導致拒絕服務或可能執行任意程式碼。(CVE-2015-7853)

John D「Doug」Birdwell 發現 NTP 未正確處理某些假值的編碼。攻擊者可能利用此問題造成 NTP 損毀，進而導致拒絕服務。
(CVE-2015-7855)

Stephen Gray 發現 NTP 未正確處理對稱式關聯性驗證。遠端攻擊者可能利用此問題，繞過驗證並修改系統時鐘。
(CVE-2015-7871)

預設安裝中，攻擊者會遭到 NTP AppArmor 設定檔隔離。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 ntp 中發現數個安全性問題：

CVE-2015-5146

在 ntpd 處理特定遠端組態封包的方式中發現一個瑕疵。若發生以下情形，攻擊者可利用特製的封包造成 ntpd 損毀：

- 已啟用 ntpd 的遠端組態

- 攻擊者知道組態密碼

- 攻擊者擁有受委託執行遠端組態的電腦之存取權

請注意，NTP 預設為停用遠端組態。

CVE-2015-5194

據發現，ntpd 在處理格式錯誤之 logconfig 組態命令時可能因未初始化的變數而損毀。

CVE-2015-5195

據發現，當未啟用的統計資料類型在編譯時 (如 timingstats)
受到統計資料或 filegen 組態命令參照時，ntpd 會因分割錯誤而結束

CVE-2015-5219

據發現，當接收特製 NTP 封包時，sntp 程式會在無限迴圈中懸置，這與將封包的精確度值轉換為雙倍有關。

CVE-2015-5300

據發現，ntpd 未正確實作 -g 選項：
一般而言，如果位移超過錯誤閾值 (預設為 1000)，則 ntpd 會結束並傳送訊息至系統記錄。此選項允許將時間設為任何值，不受限制；但是這個操作只能執行一次。如果在那之後超過閾值，則 ntpd 會結束並傳送訊息至系統記錄。此選項可搭配 -q 和 -x 選項一起使用。如果 nfpd 的時鐘規定沒有足夠時間可達到同步狀態並停留在該狀態至少一個更新的時間，則 ntpd 實際上能以超過錯誤閾值的次數步進時鐘多次。如果攔截式攻擊者可以因為 ntpd 已開始 (或可能在那之後最多 15-30 分鐘) 而控制 NTP 流量，則可以阻止用戶端達到同步狀態，並強制它以任意次數步進其時鐘任意量，這可被攻擊者用來使憑證過期，或進行其他行為。
這與文件所述內容相反。ntpd 啟動時，通常假設 MITM 攻擊者只能將時鐘劃分區間超出錯誤閾值一次，而若要進行更大幅度的調整，攻擊者必須劃分為多個較小的區間，各占 15 分鐘 (相當緩慢)。

CVE-2015-7691、CVE-2015-7692、CVE-2015-7702

據發現，CVE-2014-9750 的修正並不完整：ntp_crypto.c 的值長度檢查中發現三個錯誤，具有特定自動金鑰作業且包含惡意資料的封包並非每一次都經過完整驗證。接收這些封包可能導致 ntpd 損毀。

CVE-2015-7701

在 ntpd 的 CRYPTO_ASSOC 中發現一個記憶體洩漏瑕疵。如果 ntpd 設為使用自動金鑰驗證，攻擊者即可傳送封包至 ntpd，並且連續數天發動攻擊，從而導致其記憶體不足。

CVE-2015-7703

Red Hat 的 Miroslav Lichvár 發現，:config 命令可被用來設定 pidfile 和 driftfile 路徑，而無任何限制。遠端攻擊者可利用此瑕疵，將檔案系統上的檔案覆寫為含有 ntpd 處理程序 pid 的檔案 (立即)，或是系統時鐘目前的預估偏離 (以小時為間隔)。例如：ntpq -c ‘:config pidfile /tmp/ntp.pid’ ntpq -c ‘:config driftfile /tmp/ntp.drift’；在 Debian 中，ntpd 是設定為中斷 root 權限，這可限制此問題的影響。

CVE-2015-7704

如果作為 NTP 用戶端的 ntpd 從伺服器接收 Kiss-of-Death (KoD) 封包以降低其輪詢率，則它不會檢查回覆中的原始時間戳記是否符合其要求的傳輸時間戳記。路徑外攻擊者可傳送特製的 KoD 封包給用戶端，該封包會將用戶端的輪詢間隔提高至極大值，並有效停用與伺服器同步的功能。

CVE-2015-7850

在網路時間通訊協定的遠端組態功能中，存在一個可被惡意利用的拒絕服務弱點。特製的組態檔可造成無限迴圈，進而導致拒絕服務。攻擊者可能提供惡意組態檔案，以觸發此弱點。

CVE-2015-7851

VMS 上儲存 ntpd 的組態檔中可能存在一個路徑遊走弱點。特製的路徑可造成路徑遊走，進而導致檔案遭覆寫。攻擊者可能提供惡意的路徑，以觸發此弱點。

此問題不會影響 Debian。

CVE-2015-7852

ntpq 的 cookedprint 功能中可能存有一個差一弱點。利用特製的緩衝區可造成緩衝區溢位，進而導致將 NULL 位元組寫入超出邊界。

CVE-2015-7855

據發現，在處理含有異常的長資料值且其中應該有網路位址的模式 6 或模式 7 封包時，NTP 的 decodenetnum() 會因宣告失敗而中止。這可允許經驗證的攻擊者造成 ntpd 損毀。

CVE-2015-7871

在 ntpd 中存在一個處理邏輯錯誤的錯誤，此錯誤的出現，是因為與特定 crypto-NAK 封包相關的不當錯誤條件處理所導致。未經驗證的路徑外攻擊者可傳輸對稱式作用中 crypto-NAK 封包到 ntpd，藉此強制目標伺服器上的 ntpd 處理程序與攻擊者選擇的時間來源建立對等關係。此攻擊可繞過成立對等節點關聯時通常必要的驗證，並允許攻擊者對系統時間進行任意變更。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

現已提供適用於 Slackware 13.0、13.1、13.37、14.0、14.1 和最新版本的新 ntp 套件，可修正一個安全性問題。

CVE-2015-5146、CVE-2015-5194、CVE-2015-5219、CVE-2015-5195、CVE-2015-5196 的安全性修正

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在網路時間通訊協定程序和公用程式中發現數個弱點：

- CVE-2015-5146 在 ntpd 處理特定遠端組態封包的方式中發現一個瑕疵。若發生以下情形，攻擊者可利用特製的封包造成 ntpd 損毀：

- 已啟用 ntpd 的遠端組態
 - 攻擊者知道組態密碼

- 攻擊者擁有受委託執行遠端組態的電腦之存取權

請注意，NTP 預設為停用遠端組態。

- CVE-2015-5194 據發現，ntpd 在處理異常 logconfig 組態命令時可能會因未初始化的變數而損毀。

- CVE-2015-5195 據發現，當未啟用的統計資料類型在編譯時 (如 timingstats) 受到統計資料或 filegen 組態命令參照時，ntpd 會因分割錯誤而結束。

- CVE-2015-5219 據發現，當接收特製 NTP 封包時，sntp 程式會在無限迴圈中懸置，這與將封包的精確度值轉換為雙倍有關。

- CVE-2015-5300 據發現，ntpd 並未正確實作
-g 選項：

一般而言，如果位移超過錯誤閾值 (預設為 1000)，則 ntpd 會結束並傳送訊息至系統記錄。此選項允許將時間設為任何值，不受限制；但是這個操作只能執行一次。如果在那之後超過閾值，則 ntpd 會結束並傳送訊息至系統記錄。此選項可搭配 -q 和 -x 選項一起使用。

如果 nfpd 的時鐘規定沒有足夠時間可達到同步狀態並停留在該狀態至少一個更新的時間，則 ntpd 實際上會以超過錯誤閾值的次數步進時鐘多次。如果攔截式攻擊者可以因為 ntpd 已開始 (或可能在那之後最多 15-30 分鐘) 而控制 NTP 流量，則可以阻止用戶端達到同步狀態，並強制它以任意次數步進其時鐘任意量，這可被攻擊者用來使憑證過期，或進行其他行為。

這與文件所述相反。ntpd 啟動時，通常假設 MITM 攻擊者只能將時鐘劃分區間超出錯誤閾值一次，而若要進行更大幅度的調整，攻擊者必須劃分為多個較小的區間，各占 15 分鐘 (相當緩慢)。

- CVE-2015-7691、CVE-2015-7692、CVE-2015-7702 據發現，CVE-2014-9750 的修正並不完整：在 ntp_crypto.c 的值長度檢查中發現三個問題，具有特定自動金鑰作業且包含惡意資料的封包並非每一次都經過完整驗證。接收這些封包可能導致 ntpd 損毀。

- CVE-2015-7701 在 ntpd 的 CRYPTO_ASSOC 中發現一個記憶體洩漏瑕疵。如果 ntpd 設為使用自動金鑰驗證，攻擊者即可傳送封包至 ntpd，並且連續數天發動攻擊，從而導致其記憶體不足。

- CVE-2015-7703 Red Hat 的 Miroslav Lichvar 發現，:config 命令可用於設定 pidfile 和 driftfile 路徑，而無任何限制。遠端攻擊者可利用此瑕疵，將檔案系統上的檔案覆寫為含有 ntpd 處理程序 pid 的檔案 (立即)，或是系統時鐘目前的預估偏離 (以小時為間隔)。例如：

ntpq -c ':config pidfile /tmp/ntp.pid'ntpq -c ':config driftfile /tmp/ntp.drift'

在 Debian 中，ntpd 被設定為放置 root 權限，這可限制此問題的影響。

- CVE-2015-7704 如果作為 NTP 用戶端的 ntpd 從伺服器接收 Kiss-of-Death (KoD) 封包以降低其輪詢率，則它不會檢查回覆中的原始時間戳記是否符合其要求的傳輸時間戳記。路徑外攻擊者可傳送特製的 KoD 封包給用戶端，該封包會將用戶端的輪詢間隔提高至極大值，並有效停用與伺服器同步的功能。

- CVE-2015-7850 在網路時間通訊協定的遠端組態功能中，存在一個可被惡意利用的拒絕服務弱點。特製的組態檔可造成無限迴圈，進而導致拒絕服務。攻擊者可能提供惡意組態檔案，以觸發此弱點。

- CVE-2015-7852 ntpq 的 cookedprint 功能中可能存有一個差一弱點。利用特製的緩衝區可造成緩衝區溢位，進而導致將 NULL 位元組寫入超出邊界。

- CVE-2015-7855 據發現，在處理含有異常的長資料值且其中應該有網路位址的模式 6 或模式 7 封包時，NTP 的 decodenetnum() 會因宣告失敗而中止。這可允許經驗證的攻擊者造成 ntpd 損毀。

- CVE-2015-7871 在 ntpd 中存在一個處理邏輯錯誤的錯誤，此錯誤的出現，是因為與特定 crypto-NAK 封包相關的不當錯誤條件處理所導致。未經驗證的路徑外攻擊者可傳輸對稱式作用中 crypto-NAK 封包到 ntpd，強制目標伺服器上的 ntpd 處理程序與攻擊者選擇的時間來源配對。此攻擊可繞過成立對等節點關聯時通常必要的驗證，並允許攻擊者對系統時間進行任意變更。

CVE-2015-7704、CVE-2015-5300、CVE-2015-7692、CVE-2015-7871、CVE-2015-7702、CVE-2015-7691、CVE-2015-7852、CVE-2015-7701 的安全性修正 ---- CVE-2015-5146、CVE-2015-5194、CVE-2015-5219、CVE-2015-5195、CVE-2015-5196 的安全性修正

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
86132	GLSA-201509-01：NTP：多個弱點	Nessus	Gentoo Local Security Checks	2015/9/25	2021/1/11	medium
105510	F5 Networks BIG-IP：NTP 弱點 (K17114)	Nessus	F5 Networks Local Security Checks	2018/1/3	2021/3/10	medium
131600	EulerOS 2.0 SP2：ntp (EulerOS-SA-2019-2446)	Nessus	Huawei Local Security Checks	2019/12/4	2024/4/8	medium
121310	Network Time Protocol Daemon (ntpd) 3.x / 4.x < 4.2.8p3 Denial Of Service Vulnerability	Nessus	Misc.	2019/1/22	2019/10/31	medium
85751	Amazon Linux AMI : ntp (ALAS-2015-593)	Nessus	Amazon Linux Local Security Checks	2015/9/3	2020/6/22	high
86630	Ubuntu 14.04 LTS：NTP 弱點 (USN-2783-1)	Nessus	Ubuntu Local Security Checks	2015/10/28	2023/10/20	critical
86640	Debian DLA-335-1：ntp 安全性更新	Nessus	Debian Local Security Checks	2015/10/29	2021/1/11	critical
84590	Slackware 13.0 / 13.1 / 13.37 / 14.0 / 14.1 / 最新版本：ntp (SSA:2015-188-03)	Nessus	Slackware Local Security Checks	2015/7/8	2021/1/14	medium
86027	Fedora 23：ntp-4.2.6p5-33.fc23 (2015-14213)	Nessus	Fedora Local Security Checks	2015/9/21	2021/1/11	high
86331	Fedora 22：ntp-4.2.6p5-33.fc22 (2015-14212)	Nessus	Fedora Local Security Checks	2015/10/12	2021/1/11	high
86682	Debian DSA-3388-1：ntp - 安全性更新	Nessus	Debian Local Security Checks	2015/11/2	2021/1/11	critical
89288	Fedora 21：ntp-4.2.6p5-34.fc21 (2015-77bfbc1bcd)	Nessus	Fedora Local Security Checks	2016/3/4	2021/1/11	critical

偵測

搜尋 Plugin

medium

medium

medium

medium

high

critical

critical

medium

high

high

critical

critical