Debian DSA-3108-1：ntp - セキュリティ更新

high Nessus プラグイン ID 80208

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

ネットワークタイムプロトコルの実装である ntp パッケージで、複数の脆弱性が見つかりました。

- CVE-2014-9293 ntpd が、完全な管理権限のある内部使用のための弱い鍵を生成しました。攻撃者がこのキーを使用して、ntpd を再設定（または他の脆弱性の悪用）を行う可能性があります。

- CVE-2014-9294 ntp-keygen ユーティリティが、不十分なエントロピーの MD5 弱い鍵を生成しました。

- CVE-2014-9295 ntpd にはいくつかのバッファオーバーフローが（スタックとデータセクションの両方で）あり、認証されたリモートの攻撃者が ntpd をクラッシュさせたり、任意のコードを実行したりすることが可能です。

- CVE-2014-9296 ntpd の一般的なパケットプロセス機能がエラーケースを正しく処理しませんでした。

Debian でのデフォルトの ntpd 構成では、ローカルホスト（IPv6 の場合は隣接するネットワークも対象候補）へのアクセスを制限しています。

「ntp-keygen -M」で明示的に生成されたキーは、生成し直す必要があります。