Debian DLA-116-1：ntp セキュリティ更新

high Nessus プラグイン ID 82099

Language:

概要

リモートの Debian ホストにセキュリティ更新がありません。

説明

ネットワークタイムプロトコルの実装である ntp パッケージで、複数の脆弱性が見つかりました。

CVE-2014-9293

ntpd は、完全な管理者権限を伴う、内部使用の脆弱なキーを生成しました。攻撃者がこのキーを使用して、ntpd を再設定（または他の脆弱性の悪用）を行う可能性があります。

CVE-2014-9294

ntp-keygen ユーティリティは、エントロピーが不十分で脆弱な MD5 キーを生成しました。

CVE-2014-9295

ntpd にはいくつかのバッファオーバーフローが（スタックとデータセクションの両方で）あり、リモートの認証された攻撃者が ntpd をクラッシュさせたり、任意のコードを実行したりすることが可能でした。

CVE-2014-9296

ntpd の一般的なパケットプロセス機能がエラーケースを正しく処理していませんでした。

Debian でのデフォルトの ntpd 構成では、ローカルホスト（IPv6 の場合は隣接するネットワークも対象候補）へのアクセスを制限しています。

「ntp-keygen -M」で明示的に生成されたキーは、生成し直す必要があります。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 4.2.6.p2+dfsg-1+deb6u1 で修正されています。

お使いの heirloom-mailx パッケージをアップグレードすることを推奨します。

Red Hat のセキュリティ更新に対して Florian Weimer 氏に感謝の意を表します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。