Бюллетень безопасности FreeBSD-SA-17:03.ntp (неофициальный перевод)

Первоисточник: https://www.freebsd.org/security/advisories/FreeBSD-SA-17:03.ntp.asc
 
Тема: Несколько уязвимостей ntp
Категория: contrib
Модуль: ntp
Анонсировано: 12.04.2017
Благодарности: Network Time Foundation
Влияет на: все поддерживаемые версии FreeBSD.
Исправлено в: 2017-03-28 04:48:17 UTC (stable/11, 11.0-STABLE)
2017-04-12 06:24:35 UTC (releng/11.0, 11.0-RELEASE-p9)
2017-03-28 04:48:55 UTC (stable/10, 10.3-STABLE)
2017-04-12 06:24:35 UTC (releng/10.3, 10.3-RELEASE-p18)
CVE ID: CVE-2017-6464, CVE-2017-6462, CVE-2017-6463, CVE-2016-9042
 
Для получения общей информации о рекомендациях по безопасности FreeBSD, посетите https://security.FreeBSD.org/.
 
I. Общая информация
 
ntpd демон это реализация Network Time Protocol (NTP), которая используется для синхронизации времени компьютера с источником точного времени.
 
II. Описание проблемы
 
Уязвимость была обнаружена при анализе директив конфигурации NTP серверов. [CVE-2017-6463, CVE-2017-6464]
 
Уязвимость была обнаружена в NTP при анализе пакетов из DPTS Clock. [CVE-2017-6462]
 
В NTP была обнаружена уязвимость, затрагивающая функцию проверки исходной временной метки. [CVE-2016-9042]
 
III. Влияние
 
Удаленный аутентифицированный злоумышленник может привести к сбою ntpd, отправив обработанное сообщение. [CVE-2017-6463, CVE-2017-6464]
 
Вредоносное устройство может отправлять обработанные сообщения, вызывая сбой ntpd. [CVE-2017-6462]
 
Злоумышленник, способный подменять сообщения от всех настроенных узлов (peers), может отправить обработанные пакеты в ntpd, а ответы от узлов (peers) будут получены с опозданием и отвергнуты, что приведет к отказу в обслуживании (DoS). [CVE-2016-9042]
 
IV. Временное решение
 
Временных решений нет, однако системы, на которых не запущен ntpd, не подвержены этой уязвимости. Сетевым администраторам рекомендуется следовать рекомендациям BCP-38, которые помогут снизить риск, связанный с этими атаками.
 
V. Решение
 
Выполните одно из следующих действий:
 
1) Обновите вашу систему до поддерживаемой FreeBSD stable или release / releng версии, выпущенной датой после устранения уязвимости.
 
Служба ntpd должна быть перезапущена после обновления. Перезагрузка рекомендуется, но не обязательна.
 
2) Обновите систему бинарными патчами:
 
Системы с RELEASE версией FreeBSD на i386 и amd64 платформах могут быть обновлены утилитой freebsd-update.

# freebsd-update fetch
# freebsd-update install

 

Служба ntpd должна быть перезапущена после обновления. Перезагрузка рекомендуется, но не обязательна.
 
3) Обновите систему при помощи исходного кода патча:
 
Ниже указанные патчи будут добавлены в релизные ветки FreeBSD.
 
а) Загрузите соответствующий патч, используя ниже приведенные ссылки и проверьте PGP подпись, используя вашу утилиту PGP.

[FreeBSD 11.0]
# fetch https://security.FreeBSD.org/patches/SA-17:03/ntp-11.0.patch.xz
# fetch https://security.FreeBSD.org/patches/SA-17:03/ntp-11.0.patch.xz.asc
# gpg --verify ntp-11.0.patch.xz.asc

[FreeBSD 10.3]
# fetch https://security.FreeBSD.org/patches/SA-17:03/ntp-10.3.patch.xz
# fetch https://security.FreeBSD.org/patches/SA-17:03/ntp-10.3.patch.xz.asc
# gpg --verify ntp-10.3.patch.xz.asc

 

b) Примените патч, используя следующие команды под пользователем root:

# cd /usr/src
# patch < /path/to/patch

 

с) Перекомпилируйте операционную систему, используя buildworld и installworld, как описанно в https://www.FreeBSD.org/handbook/makeworld.html.
 
Перезапустите соответствующие демоны, или перезагрузите систему.
 
VI. Сведения об исправлении
 
Список ниже содержит номера ревизий каждой из уязвимых ветвей FreeBSD.

Ветвь                                                             Ревизия
- -------------------------------------------------------------------------
stable/10/                                                        r316069
releng/10.3/                                                      r316722
stable/11/                                                        r316068
releng/11.0/                                                      r316722
 - -------------------------------------------------------------------------

 

Чтобы узнать, какие файлы были изменены в конкретной ревизии, запустите на машине с установленным Subversion указанную ниже команду, заменив NNNNNN на номер ревизии.

# svn diff -cNNNNNN --summarize svn://svn.freebsd.org/base

 

Или посетите следующий URL, заменив NNNNNN на номер ревизии:

URL: https://svnweb.freebsd.org/base?view=revision&revision=NNNNNN

 

VII. Рекомендации
 
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-9042
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-6462
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-6463
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-6464

Новости

Оставить комментарий