こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

6月3日に新しくntpの脆弱性情報とパッチが公開されましたので、今回は各ディストリビューションの状況についてまとめてみます。

Medium

NTPの以下のバージョンが対象になります：

• 4.2.8p7以前のntp-4.2バージョン

• 4.3.92以前のntp-4.3バージョン

• CVE-2016-4957

• CRYPTO_NAK のサービス運用妨害 (DoS)の可能性

• 重要度 - High

• ntpdがcrypto-NAKパケットを受け取った時の処理に問題が有り、リモートから細工したパケットを送ることでサービス運用妨害(Dos)を引き起こすことが出来ます。

• CVE-2016-4953

• 不正な認証処理による"ephemal association"の無効化

• 重要度 - Low

• オリジナルのタイムスタンプを知っている攻撃者はCRYPTO-NAKを含む偽装したパケットを送ることで、ntpの関係性を壊すことが可能になります。

• CVE-2016-4954

• 不正なサーバパケットの処理

• 重要度 - Low

• ターゲットマシンにパケットのレスポンスが届く前に、オリジナルのタイムスタンプを含む偽装したパケットを送ることにより、ターゲットマシンに対していくつかの変数を改変することが出来ます。

• CVE-2016-4955

• Autokey関係性のリセット

• 重要度 - Low

• 攻撃者はcrypto-NAKや不正なMACアドレスの入ったパケットを送ることで、関係性を壊すことが可能になります。

• CVE-2016-4956

• broadcastクライアントによるインターリーブモードへの強制的な移行

• 重要度 - Low

• 攻撃者による偽装したパケットにより、インターリーブモードへの強制的な移行が可能になります。

---

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• debian

• https://security-tracker.debian.org/tracker/CVE-2016-4953

• https://security-tracker.debian.org/tracker/CVE-2016-4954

• https://security-tracker.debian.org/tracker/CVE-2016-4955

• https://security-tracker.debian.org/tracker/CVE-2016-4956

• https://security-tracker.debian.org/tracker/CVE-2016-4957

• Red Hat Enterprise Linux/CentOS

  影響なし

• CVE-2016-4953
• CVE-2016-4954
• CVE-2016-4955
• CVE-2016-4956
• CVE-2016-4957

• Oracle Linux

• OpenSUSE

• https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-4953

• https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-4954

• https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-4955

• https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-4956

• https://bugzilla.novell.com/show_bug.cgi?id=CVE-2016-4957

• ubuntu

• http://people.canonical.com/%7Eubuntu-security/cve/2016/CVE-2016-4953.html

• http://people.canonical.com/%7Eubuntu-security/cve/2016/CVE-2016-4954.html

• http://people.canonical.com/%7Eubuntu-security/cve/2016/CVE-2016-4955.html

• http://people.canonical.com/%7Eubuntu-security/cve/2016/CVE-2016-4956.html

• http://people.canonical.com/%7Eubuntu-security/cve/2016/CVE-2016-4957.html

---

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat Satelliteを使うと管理が便利でしょう。

また、ntpdを使用してサービスを提供している場合には、サービスの再起動が発生しますので、pacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

---

[参考]
NTP Security Notice
NTP daemon (ntpd) に複数の脆弱性

---

[セミナー告知]

7/22にノベル株式会社様と共催で「クラウド・OSSセキュリティセミナー」と題して、OpenStack基盤自体のセキュリティに関して、デモを交えたセミナーを行います。

https://sios.secure.force.com/webform/SeminarDetail?id=70110000000sotpAAAがプログラム内容と申し込みの

詳細になりますので、是非お申し込み下さい。