CVE-2015-1853、CVE-2015-1821、CVE-2015-1822 に対するセキュリティ修正

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

3 つのセキュリティ問題といくつかのバグを修正し、さまざまな強化を追加する更新済み chrony パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

chronyd および chronyc から成る chrony パッケージは、ネットワークタイムプロトコル（NTP）の高度な実装であり、特に間欠的な接続におけるシステムをサポートするよう設計されています。システム時計を NTP サーバー、ハードウェア参照時計、および手動入力と同期することができます。
NTPv4（RFC 5905）サーバーやピアとして動作し、ネットワーク内のその他のコンピューターに時刻サービスを提供することもできます。

NTP または cmdmon アクセスを構成する際、chrony が特定のアドレスを保存する方法で領域外書き込みの欠陥が見つかりました。コマンドキーを持ち、cmdmon（デフォルトではローカルホストのみ許可されている）へのアクセス権のある攻撃者がこれを悪用して、chronyd をクラッシュさせたり、 chronyd プロセスの権限で任意のコードを実行するおそれがあります。
(CVE-2015-1821)

認証されたコマンドリクエストへの未知の返答を保存するためのメモリを割り当てる際、初期化されていないポインターを使用する欠陥が見つかりました。コマンドキーを持ち、cmdmon（デフォルトではローカルホストのみ許可されている）へのアクセス権のある攻撃者がこれを悪用して、chronyd をクラッシュさせたり、 chronyd プロセスの権限で任意のコードを実行するおそれがあります。(CVE-2015-1822)

互いにピアリングしている chrony ホストが内部状態変数を更新する前に自身を認証する方法で、サービス拒否の欠陥が見つかりました。攻撃者がある 1 つのピアホストにパケットを送信し、これが他のピアへカスケードされて、到着したピア内で同期プロセスを停止させる可能性があります。(CVE-2015-1853)

これらの問題は、Red Hat の Miroslav Lichvár 氏が発見されました。

chrony パッケージが Upstream バージョン 2.1.1 にアップグレードされ、以前のバージョンに対する多数のバグ修正と強化が行われています。重要な強化点は次のとおりです。

* NTP バージョン 4 へ更新しました（RFC 5905）

* NTP サーバーのプールを指定するためにプールディレクティブを追加しました

* 時計をうるう秒に修正する方法を選択するために leapsecmode ディレクティブを追加しました

* 提供時間を調整し、leap smear によるうるう秒対策を可能にするために、smoothtime ディレクティブを追加しました

* POSIX スレッドによる非同期の名前解決を追加しました

* 2036（次の NTP の時代）年に備えました

* 時計のコントロールを改善しました

* 各 NTP サーバーに対して別のクライアントソケットを開くためにネットワーキングコードが再度行われました

（BZ#1117882）

この更新では以下のバグも修正されます。

* 以前は、chronyd サービスは、「bindaddress」ディレクティブで指定されたネットワークインターフェイスが、サービス起動時に使用できる状態であることを保証していました。これにより、インターフェイスが準備できていないと、chronyd が NTP サーバーソケットをインターフェイスにバインドできないことがありました。この更新で、 chronyd は IP_FREEBIND ソケットオプションを使用するようになり、サービス起動時だけでなく、後にインターフェイスとバインドさせることが可能になりました。
（BZ#1169353）

また、この更新は以下の拡張機能も追加します：

* chronyd サービスは、「leapsecmode」オプションを使用するよう構成され、うるう秒を処理する 4 つのモードをサポートするようになりました。時計は、カーネル（デフォルトの「system」モード）または chronyd（「step」モード）から転送されるか、時刻を回転することで緩やかに補正（「slew」モード）されるか、あるいはうるう秒は無視されのちに通常動作で修正（「ignore」モード）されます。緩やかな補正（slew モード）を選択すると、修正は常に 00:00:00 UTC に始まり、「maxslewrate」オプションで指定されているレートが適用されます。（BZ#1206504）

chrony の全ユーザーは、これらの更新済みパッケージにアップグレードし、これらの問題の修正およびこれらの機能強化の追加を行うことが推奨されます。

NTP または cmdmon アクセスを構成する際、chrony が特定のアドレスを保存する方法で領域外書き込みの欠陥が見つかりました。コマンドキーを持ち、cmdmon（デフォルトではローカルホストのみ許可されている）へのアクセス権のある攻撃者がこれを悪用して、chronyd をクラッシュさせたり、 chronyd プロセスの権限で任意のコードを実行するおそれがあります。
(CVE-2015-1821)

認証されたコマンドリクエストへの未知の返答を保存するためのメモリを割り当てる際、初期化されていないポインターを使用する欠陥が見つかりました。コマンドキーを持ち、cmdmon（デフォルトではローカルホストのみ許可されている）へのアクセス権のある攻撃者がこれを悪用して、chronyd をクラッシュさせたり、 chronyd プロセスの権限で任意のコードを実行するおそれがあります。(CVE-2015-1822)

互いにピアリングしている chrony ホストが内部状態変数を更新する前に自身を認証する方法で、サービス拒否の欠陥が見つかりました。攻撃者がある 1 つのピアホストにパケットを送信し、これが他のピアへカスケードされて、到着したピア内で同期プロセスを停止させる可能性があります。(CVE-2015-1853)

chrony パッケージが Upstream バージョン 2.1.1 にアップグレードされ、以前のバージョンに対する多数のバグ修正と強化が行われています。重要な強化点は次のとおりです。

- NTP バージョン 4 へ更新しました（RFC 5905）

- NTP サーバーのプールを指定するためにプールディレクティブを追加しました

- 時計をうるう秒に修正する方法を選択するために leapsecmode ディレクティブを追加しました

- 提供時間を調整し、leap smear によるうるう秒対策を可能にするために smoothtime ディレクティブを追加しました

- POSIX スレッドによる非同期の名前解決を追加しました

- 2036（次の　NTP の時代）年に備えました

- 時計のコントロールを改善しました

- 各 NTP サーバーに対して別のクライアントソケットを開くためにネットワーキングコードの修正が再度行われました

この更新では以下のバグも修正されます。

- 以前、chronyd サービスは、「bindaddress」ディレクティブで指定されたネットワークインターフェイスが、サービス起動時に使用できる状態であることを保証していました。これにより、インターフェイスが準備できていないと、chronyd が NTP サーバーソケットをインターフェイスにバインドできないことがありました。この更新で、 chronyd は IP_FREEBIND ソケットオプションを使用するようになり、サービス起動時だけでなく、後にインターフェイスとバインドさせることが可能になりました。

また、この更新は以下の拡張機能も追加します：

- chronyd サービスは、「leapsecmode」オプションを使用するよう構成され、うるう秒を処理する 4 つのモードをサポートするようになりました。
 時計は、カーネル（デフォルトの「system」モード）または chronyd（「step」モード）から転送されるか、時刻を回転することで緩やかに補正（「slew」モード）されるか、あるいはうるう秒は無視されのちに通常動作で修正（「ignore」モード）されます。緩やかな補正（slew モード）を選択すると、修正は常に 00:00:00 UTC に始まり、「maxslewrate」オプションで指定されているレートが適用されます。

Red Hat の Miroslav Lichvar 氏は、代替 NTP クライアントおよびサーバーである chrony で複数の脆弱性を発見しました：

- CVE-2015-1821 アクセスコントロールを構成する際に特定のアドレス/サブネットの組み合わせを使用すると、無効なメモリの書き込みを引き起こす可能性があります。これにより、攻撃者はサービス拒否（クラッシュ）を発生させたり、任意のコードを実行したりする可能性があります。

- CVE-2015-1822 認証されたコマンドリクエストに、未確認の応答を保存するためのメモリを割り当てる場合、ポインターが初期化されないままになり、無効なメモリの書き込みを発生させる可能性があります。これにより、攻撃者はサービス拒否（クラッシュ）を発生させたり、任意のコードを実行したりする可能性があります。

- CVE-2015-1853 認証された対称型関連付けを利用するその他の NTP ホストとのピアリングをする場合、内部状態変数が、NTP メッセージの MAC が有効になる前に更新される可能性があります。このため、リモートの攻撃者が NTP ピア間の同期を阻害することにより、サービス拒否を引き起こす可能性があります。

Upstream による報告：

4 で割り切れるサブネットサイズ、かつ 4 ビットのサブネットリメインダーにゼロ以外のビットがあるアドレス（例、192.168.15.0/22 または f000::/3）で NTP または cmdmon アクセスが（chrony.conf からまたは認証された cmdmon を通じて）
構成された場合、その新たな設定が間違った場所（場合により割り当てられた配列の外側）に書き込まれていました。コマンドキーを保有し、cmdmon へのアクセス権のある（デフォルトではローカルホストしか許可されていない）攻撃者が、これを悪用し、chronyd をクラッシュさせたり、chronyd プロセスの権限で任意のコードを実行したりする可能性があります。(CVE-2015-1821)

認証されたコマンドリクエストに、未確認の応答を保存するためのメモリを割り当てる場合、最後の「next」ポインターは NULL に初期化されませんでした。
割り当てられた全ての応答スロットが使用された場合、次の応答は、新しいスロットが割り当てられる代わりに、無効なメモリに書き込まれる可能性があります。
コマンドキーを保有し、cmdmon へのアクセス権のある（デフォルトではローカルホストしか許可されていない）攻撃者が、これを悪用し、chronyd をクラッシュさせたり、chronyd プロセスの権限で任意のコードを実行したりする可能性があります。(CVE-2015-1822)

NTP ホストである A および B が互いにピアリング（対称型関連付け）していることを知っている攻撃者が、A のホスト上で NTP 状態変数を攻撃者から送信された値に設定する B のソースアドレスを使用して、ランダムなタイムスタンプを伴うパケットをホスト A に送信する可能性があります。その後ホスト A は、次のポール上で B の送信タイムスタンプと一致しない元のタイムスタンプを伴うパケットを B に送信し、パケットはドロップします。攻撃者が両方のホストに対して定期的にこれを行った場合、両方のホストは互いに同期できなくなります。対称鍵を使用した認証ではこの攻撃を完全に阻止できますが、NTPv3（RFC 1305）または NTPv4（RFC 5905）の規格に従う実装では、認証チェックが失敗し、関連付けが保護されなくても、状態変数が更新されました。(CVE-2015-1853)

Red Hat セキュリティアドバイザリ 2015:2241 から：

3 つのセキュリティ問題といくつかのバグを修正し、さまざまな強化を追加する更新済み chrony パッケージが、 Red Hat Enterprise Linux 7 で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

chronyd および chronyc から成る chrony パッケージは、ネットワークタイムプロトコル（NTP）の高度な実装であり、特に間欠的な接続におけるシステムをサポートするよう設計されています。システム時計を NTP サーバー、ハードウェア参照時計、および手動入力と同期することができます。
NTPv4（RFC 5905）サーバーやピアとして動作し、ネットワーク内のその他のコンピューターに時刻サービスを提供することもできます。

NTP または cmdmon アクセスを構成する際、chrony が特定のアドレスを保存する方法で領域外書き込みの欠陥が見つかりました。コマンドキーを持ち、cmdmon（デフォルトではローカルホストのみ許可されている）へのアクセス権のある攻撃者がこれを悪用して、chronyd をクラッシュさせたり、 chronyd プロセスの権限で任意のコードを実行するおそれがあります。
(CVE-2015-1821)

認証されたコマンドリクエストへの未知の返答を保存するためのメモリを割り当てる際、初期化されていないポインターを使用する欠陥が見つかりました。コマンドキーを持ち、cmdmon（デフォルトではローカルホストのみ許可されている）へのアクセス権のある攻撃者がこれを悪用して、chronyd をクラッシュさせたり、 chronyd プロセスの権限で任意のコードを実行するおそれがあります。(CVE-2015-1822)

互いにピアリングしている chrony ホストが内部状態変数を更新する前に自身を認証する方法で、サービス拒否の欠陥が見つかりました。攻撃者がある 1 つのピアホストにパケットを送信し、これが他のピアへカスケードされて、到着したピア内で同期プロセスを停止させる可能性があります。(CVE-2015-1853)

これらの問題は、Red Hat の Miroslav Lichvár 氏が発見されました。

chrony パッケージが Upstream バージョン 2.1.1 にアップグレードされ、以前のバージョンに対する多数のバグ修正と強化が行われています。重要な強化点は次のとおりです。

* NTP バージョン 4 へ更新しました（RFC 5905）

* NTP サーバーのプールを指定するためにプールディレクティブを追加しました

* 時計をうるう秒に修正する方法を選択するために leapsecmode ディレクティブを追加しました

* 提供時間を調整し、leap smear によるうるう秒対策を可能にするために、smoothtime ディレクティブを追加しました

* POSIX スレッドによる非同期の名前解決を追加しました

* 2036（次の NTP の時代）年に備えました

* 時計のコントロールを改善しました

* 各 NTP サーバーに対して別のクライアントソケットを開くためにネットワーキングコードが再度行われました

（BZ#1117882）

この更新では以下のバグも修正されます。

* 以前は、chronyd サービスは、「bindaddress」ディレクティブで指定されたネットワークインターフェイスが、サービス起動時に使用できる状態であることを保証していました。これにより、インターフェイスが準備できていないと、chronyd が NTP サーバーソケットをインターフェイスにバインドできないことがありました。この更新で、 chronyd は IP_FREEBIND ソケットオプションを使用するようになり、サービス起動時だけでなく、後にインターフェイスとバインドさせることが可能になりました。
（BZ#1169353）

また、この更新は以下の拡張機能も追加します：

* chronyd サービスは、「leapsecmode」オプションを使用するよう構成され、うるう秒を処理する 4 つのモードをサポートするようになりました。時計は、カーネル（デフォルトの「system」モード）または chronyd（「step」モード）から転送されるか、時刻を回転することで緩やかに補正（「slew」モード）されるか、あるいはうるう秒は無視されのちに通常動作で修正（「ignore」モード）されます。緩やかな補正（slew モード）を選択すると、修正は常に 00:00:00 UTC に始まり、「maxslewrate」オプションで指定されているレートが適用されます。（BZ#1206504）

chrony の全ユーザーは、これらの更新済みパッケージにアップグレードし、これらの問題の修正およびこれらの機能強化の追加を行うことが推奨されます。

CVE-2015-1853：

認証された NTP 対称型関連付けを DoS 攻撃に対する保護します。

NTP ホストである A および B が互いにピアリング（対称型関連付け）していることを知っている攻撃者が、A のホスト上で NTP 状態変数を攻撃者から送信された値に設定する B のソースアドレスを使用して、ランダムなタイムスタンプを伴うパケットをホスト A に送信する可能性があります。その後ホスト A は、次のポール上で B の送信タイムスタンプと一致しない元のタイムスタンプを伴うパケットを B に送信し、パケットはドロップします。攻撃者が両方のホストに対して定期的にこれを行った場合、両方のホストは互いに同期できなくなります。それは、サービス拒否攻撃です。

[1] によれば、NTP 認証は、この攻撃に対して対称型関連付けを保護することになっていますが、NTPv3（RFC 1305）、NTPv4（RFC 5905）仕様では、状態変数は認証チェックが行われる前に更新されます。すなわち、認証が有効になっていても関連付けが攻撃に対して脆弱であることを意味します。

この問題を修正するには、認証チェック（test5）を通過した時のみ、元のローカルタイムスタンプを保存します。

[1] https://www.eecis.udel.edu/~mills/onwire.html

CVE-2015-1821：

4 で割り切れないサブネットサイズによるアクセス構成を修正してください。

4 で割り切れるサブネットサイズ、かつ 4 ビットのサブネットリメインダーにゼロ以外のビットがあるアドレス（例、192.168.15.0/22 または f000::/3）で NTP または cmdmon アクセスが（chrony.conf からまたは認証された cmdmon を通じて） 構成された場合、その新たな設定が間違った場所（場合により割り当てられた配列の外側）に書き込まれていました。

コマンドキーを保有し、cmdmon へのアクセス権のある（デフォルトではローカルホストしか許可されていない）攻撃者が、これを悪用し、chronyd をクラッシュさせたり、chronyd プロセスの権限で任意のコードを実行したりする可能性があります。

CVE-2015-1822：

認証されたコマンドへの応答スロットの初期化を修正します。

認証されたコマンドリクエストに、未確認の応答を保存するためのメモリを割り当てる場合、最後の「next」ポインターは NULL に初期化されませんでした。割り当てられた全ての応答スロットが使用された場合、次の応答は、新しいスロットが割り当てられる代わりに、無効なメモリに書き込まれる可能性があります。

コマンドキーを保有し、cmdmon へのアクセス権のある（デフォルトではローカルホストしか許可されていない）攻撃者が、これを悪用し、chronyd をクラッシュさせたり、chronyd プロセスの権限で任意のコードを実行したりする可能性があります。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Chrony News による報告：

CVE-2015-1853：認証されたシンメトリック NTP associations における DoS 攻撃

CVE-2015-1821：アクセス構成におけるヒープベースのバッファオーバーフロー

CVE-2015-1822：コマンド処理における初期化されていないポインターの使用

リモートホストは GLSA-201507-01 で説明されている脆弱性の影響を受けます（chrony：複数の脆弱性）

chrony に複数の脆弱性が発見されました。詳細については、以下で参照されている CVE 識別子をレビューしてください。
 影響：

リモートの攻撃者が、任意のリモートコードの実行、あるいはサービス拒否状態を引き起こす可能性があります。
 回避策：

現時点で、既知の回避策はありません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
83067	Fedora 20：chrony-1.31.1-1.fc20（2015-5809）	Nessus	Fedora Local Security Checks	2015/4/27	2021/1/11	medium
87146	CentOS 7：chrony （CESA-2015:2241）	Nessus	CentOS Local Security Checks	2015/12/2	2021/1/4	medium
87551	Scientific Linux セキュリティ更新：SL7.x x86_64 の chrony	Nessus	Scientific Linux Local Security Checks	2015/12/22	2021/1/14	medium
86978	RHEL 7：chrony（RHSA-2015:2241）	Nessus	Red Hat Local Security Checks	2015/11/20	2019/12/18	medium
82744	Debian DSA-3222-1：chrony - セキュリティ更新	Nessus	Debian Local Security Checks	2015/4/14	2021/1/11	medium
83007	Fedora 22：chrony-2.0-0.3.pre2.fc22（2015-5748）	Nessus	Fedora Local Security Checks	2015/4/23	2021/1/11	medium
83009	Fedora 21：chrony-1.31.1-1.fc21（2015-5816）	Nessus	Fedora Local Security Checks	2015/4/23	2021/1/11	medium
83978	Amazon Linux AMI：chrony（ALAS-2015-539）	Nessus	Amazon Linux Local Security Checks	2015/6/4	2019/12/18	medium
87032	Oracle Linux 7：chrony（ELSA-2015-2241）	Nessus	Oracle Linux Local Security Checks	2015/11/24	2021/1/14	medium
82716	Debian DLA-193-1：chrony セキュリティ更新	Nessus	Debian Local Security Checks	2015/4/13	2021/1/11	medium
82892	FreeBSD：chrony -- 複数の脆弱性（c4571ca8-053d-44c9-ab3c-89b1372ad0a5）	Nessus	FreeBSD Local Security Checks	2015/4/20	2021/1/6	medium
84531	GLSA-201507-01：chrony：複数の脆弱性	Nessus	Gentoo Local Security Checks	2015/7/6	2021/1/11	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium