ntpdの脆弱性CVE-2014-9293,9294,9295,9296まとめ

2014年12月24日2019年11月5日

ntpdに４つの脆弱性が見つかりましたね。
そのうちの一つCVE-2014-9295は任意のコードが実行可能とのこと。
対策について結論から言うと「最新版にアップデートしましょう」の一言でおしまいですが、今回はその脆弱性についての情報です。

設定値がデフォルトの(ntp.conf ファイルで auth key が設定されていない)場合、暗号強度が低い鍵が生成される。

4.2.7p230 より前のバージョンの ntp-keygen が、弱いシード値で暗号論的に不適切な乱数生成器を使って、暗号強度が低い対称鍵を生成する。

ntpd の crypto_recv() ※、ctl_putdata()、および configure() に、細工されたパケットの処理に起因するスタックバッファオーバーフローの脆弱性が存在する。※autokey認証利用時

特定のエラー処理を行うコードに return 式が存在しない箇所が存在するため、エラー発生時に処理が停止しない。

ntpd 4.2.7以前のバージョン
ntp-keygen 4.2.7p230以前のバージョン

最新版のntpd 4.2.8 にアップデートする。