[B! ntp] deg84のブックマーク

deg84 id:deg84

ntpに関するdeg84のブックマーク (4)

JVNVU#96605606: Network Time Protocol daemon (ntpd) に複数の脆弱性
Network Time Protocol (NTP) は、様々なサービスやアプリケーションで時刻を同期するために使用される通信プロトコルです。ntpd には複数の脆弱性が存在します。スプーフィングによる認証回避 (CWE-290) - CVE-2014-9298 ソースアドレスを IPv6 アドレス ::1 に偽装されると、ACL による制限を回避される可能性があります。プログラムの異常状態や例外条件を適切に検査しない (CWE-754) - CVE-2014-9297 ntp_crypto.c において拡張フィールドの長さ (vallen) の値が正しく検証されていないため、情報漏えいやプログラムの異常終了が発生する可能性があります。 PRNG における不十分なエントロピー (CWE-332) - CVE-2014-9293 ntp.conf ファイルで auth key が設定さ
deg84 2014/12/24
ntp

security
リンク
時刻同期サービス「ntpd」に重大脆弱性、細工パケット一撃でサーバー乗っ取りも
情報処理推進機構（IPA）とJPCERTコーディネーションセンター（JPCERT/CC）が共同で運営する脆弱性関連情報ポータルサイト「JVN（Japan Valnerability Notes）」は2014年12月22日、IT機器の時刻合わせに広く使われているサーバーソフト（デーモン）の「Network Time Protocol daemon（ntpd）」に複数の脆弱性が見つかったことを伝えた。発見された脆弱性の中には、不正に細工されたNTPパケットを一つ受け取るだけで、サーバーがいきなり乗っ取られる危険性があるものも含まれている。見つかった脆弱性は四つ。（1）設定ファイルntp.conf中でauth keyを設定していない場合に、暗号強度が低いデフォルト鍵が生成される問題、（2）古いバージョンのntp-keygenが、弱いシード値を使って乱数を発生し、これを基に暗号強度の低い対称鍵を
deg84 2014/12/24
NTP

security

脆弱性
リンク
NTPDの脆弱性 CVE-2014-9295他の関連情報をまとめてみた。 - piyolog
2014年12月18日にNTP ProjectはNTPDに複数の脆弱性が確認され、その修正プログラムを公開したことを発表しました。ここでは任意のコードが実行可能とされるCVE-2014-9295を中心に関連情報についてまとめます。注意喚起・脆弱性公開情報 2014年12月19日 US-CERT Vulnerability Note VU#852879 Network Time Protocol daemon (ntpd) contains multiple vulnerabilities ICS-CERT Advisory (ICSA-14-353-01) Network Time Protocol Vulnerabilities 2014年12月22日 JVNVU#96605606 Network Time Protocol daemon (ntpd) に複数の脆弱性脆弱関連情報 C
deg84 2014/12/22
NTP

security
リンク
時刻同期のNTPに極めて深刻な脆弱性--「パケット1つで悪用が可能」
Network Time Protocol（NTP）に、リモートからのコード実行に悪用される可能性がある極めて深刻なセキュリティホールが複数発見された。ICS-CERTによると、この脆弱性の悪用に高度なスキルは不要で、悪用するための具体的な手法がすでにインターネット上で公開されているという。 NTPバージョン4の4.2.8未満はすべて脆弱性の影響を受けるため、それらのNTPはただちにバージョン4.2.8にアップデートする必要がある。ただしNTPのウェブサイトは、米国東部時間12月19日17時の時点で断続的にアクセス不能に陥っていた。NTPバージョン4.2.8または脆弱性を修正するパッチを確実に入手するには、使用しているOSのベンダーに問い合わせることが推奨される。セキュリティ系のニュース配信サイト「threatpost」のDennis Fisher氏によると、NTPのウェブサイトがアクセ
deg84 2014/12/22
NTP

セキュリティ

脆弱性
リンク
1