在 4.2.8p7 之前的 ntp 4.2.x 中，ntpd 允許知道私密對稱金鑰的經驗證使用者建立任意多個短暫關聯，以獲得 ntpd 的時鐘選項並透過 Sybil 攻擊修改受害者的時鐘。此問題的存在是因為 CVE-2016-1549 的修正不完整。(CVE-2018-7170) ntp 套件中的 ntpq 和 ntpdc 命令列公用程式透過特製的主機名稱，容易受到堆疊型緩衝區溢位影響。使用包含未受信任輸入的這些弱點公用程式的應用程式可能會遭到惡意利用，進而導致損毀或以該應用程式的權限執行任意程式碼。(CVE-2018-12327)

偵測

Amazon Linux AMI : ntp (ALAS-2018-1083)

critical Nessus Plugin ID 117607

版本 1.3