Бюллетень безопасности FreeBSD-SA-17:03.ntp (неофициальный перевод)

Первоисточник: https://www.freebsd.org/security/advisories/FreeBSD-SA-17:03.ntp.asc

Тема: Несколько уязвимостей ntp
Категория: contrib
Модуль: ntp
Анонсировано: 12.04.2017
Благодарности: Network Time Foundation
Влияет на: все поддерживаемые версии FreeBSD.
Исправлено в: 2017-03-28 04:48:17 UTC (stable/11, 11.0-STABLE)
2017-04-12 06:24:35 UTC (releng/11.0, 11.0-RELEASE-p9)
2017-03-28 04:48:55 UTC (stable/10, 10.3-STABLE)
2017-04-12 06:24:35 UTC (releng/10.3, 10.3-RELEASE-p18)
CVE ID: CVE-2017-6464, CVE-2017-6462, CVE-2017-6463, CVE-2016-9042

Для получения общей информации о рекомендациях по безопасности FreeBSD, посетите https://security.FreeBSD.org/.

I. Общая информация

ntpd демон это реализация Network Time Protocol (NTP), которая используется для синхронизации времени компьютера с источником точного времени.

II. Описание проблемы

Уязвимость была обнаружена при анализе директив конфигурации NTP серверов. [CVE-2017-6463, CVE-2017-6464]

Уязвимость была обнаружена в NTP при анализе пакетов из DPTS Clock. [CVE-2017-6462]

В NTP была обнаружена уязвимость, затрагивающая функцию проверки исходной временной метки. [CVE-2016-9042]

III. Влияние

Удаленный аутентифицированный злоумышленник может привести к сбою ntpd, отправив обработанное сообщение. [CVE-2017-6463, CVE-2017-6464]

Вредоносное устройство может отправлять обработанные сообщения, вызывая сбой ntpd. [CVE-2017-6462]

Злоумышленник, способный подменять сообщения от всех настроенных узлов (peers), может отправить обработанные пакеты в ntpd, а ответы от узлов (peers) будут получены с опозданием и отвергнуты, что приведет к отказу в обслуживании (DoS). [CVE-2016-9042]

IV. Временное решение

Временных решений нет, однако системы, на которых не запущен ntpd, не подвержены этой уязвимости. Сетевым администраторам рекомендуется следовать рекомендациям BCP-38, которые помогут снизить риск, связанный с этими атаками.

V. Решение

Выполните одно из следующих действий:

1) Обновите вашу систему до поддерживаемой FreeBSD stable или release / releng версии, выпущенной датой после устранения уязвимости.

Служба ntpd должна быть перезапущена после обновления. Перезагрузка рекомендуется, но не обязательна.

2) Обновите систему бинарными патчами:

Системы с RELEASE версией FreeBSD на i386 и amd64 платформах могут быть обновлены утилитой freebsd-update.

# freebsd-update fetch
# freebsd-update install

Служба ntpd должна быть перезапущена после обновления. Перезагрузка рекомендуется, но не обязательна.

3) Обновите систему при помощи исходного кода патча:

Ниже указанные патчи будут добавлены в релизные ветки FreeBSD.

а) Загрузите соответствующий патч, используя ниже приведенные ссылки и проверьте PGP подпись, используя вашу утилиту PGP.

[FreeBSD 11.0]
# fetch https://security.FreeBSD.org/patches/SA-17:03/ntp-11.0.patch.xz
# fetch https://security.FreeBSD.org/patches/SA-17:03/ntp-11.0.patch.xz.asc
# gpg --verify ntp-11.0.patch.xz.asc

[FreeBSD 10.3]
# fetch https://security.FreeBSD.org/patches/SA-17:03/ntp-10.3.patch.xz
# fetch https://security.FreeBSD.org/patches/SA-17:03/ntp-10.3.patch.xz.asc
# gpg --verify ntp-10.3.patch.xz.asc

b) Примените патч, используя следующие команды под пользователем root:

# cd /usr/src
# patch < /path/to/patch

с) Перекомпилируйте операционную систему, используя buildworld и installworld, как описанно в https://www.FreeBSD.org/handbook/makeworld.html.

Перезапустите соответствующие демоны, или перезагрузите систему.

VI. Сведения об исправлении

Список ниже содержит номера ревизий каждой из уязвимых ветвей FreeBSD.

Ветвь                                                             Ревизия
- -------------------------------------------------------------------------
stable/10/                                                        r316069
releng/10.3/                                                      r316722
stable/11/                                                        r316068
releng/11.0/                                                      r316722
 - -------------------------------------------------------------------------

Чтобы узнать, какие файлы были изменены в конкретной ревизии, запустите на машине с установленным Subversion указанную ниже команду, заменив NNNNNN на номер ревизии.

# svn diff -cNNNNNN --summarize svn://svn.freebsd.org/base

Или посетите следующий URL, заменив NNNNNN на номер ревизии:

URL: https://svnweb.freebsd.org/base?view=revision&revision=NNNNNN

Оставить комментарий