ntp-4.2.6p5-29.2.0.1.el7.AXS7

エラータID: AXSA:2020-199:01

リリース日: 
2020/07/02 Thursday - 05:07
題名: 
ntp-4.2.6p5-29.2.0.1.el7.AXS7
影響のあるチャネル: 
Asianux Server 7 for x86_64
Severity: 
Moderate
Description: 

以下項目について対処しました。

[Security Fix]
- ntp の ntpd には、パケットに発信元の有効なタイムスタンプがない場合でも送信が
再スケジュールされるため、パス外の攻撃者がなりすましパケットを介して、
認証を必要としない同期の妨害を可能としてしまう脆弱性があります。(CVE-2020-11868)

- ntp の ntpd には、承認されていない IPv4 の時間ソースを使用している場合、
なりすましパケットで使用するための送信タイムスタンプを予測することで、
リモートのパス外の攻撃者が、DoS攻撃(デーモンの終了あるいはシステム時間の変更) を
引き起こすことのできる脆弱性があります。(CVE-2020-13817)

一部 CVE の翻訳文は JVN からの引用になります。
http://jvndb.jvn.jp/

解決策: 

パッケージをアップデートしてください。

CVE: 
CVE-2020-11868
ntpd in ntp before 4.2.8p14 and 4.3.x before 4.3.100 allows an off-path attacker to block unauthenticated synchronization via a server mode packet with a spoofed source IP address, because transmissions are rescheduled even when a packet lacks a valid origin timestamp.
CVE-2020-13817
ntpd in ntp before 4.2.8p14 and 4.3.x before 4.3.100 allows remote attackers to cause a denial of service (daemon exit or system time change) by predicting transmit timestamps for use in spoofed packets. The victim must be relying on unauthenticated IPv4 time sources. There must be an off-path attacker who can query time from the victim's ntpd instance.
追加情報: 

N/A

ダウンロード: 

SRPMS
  1. ntp-4.2.6p5-29.2.0.1.el7.AXS7.src.rpm
    MD5: 9143a605e46144dc587e395fcd5393c0
    SHA-256: c4458d7c82b036702dc2214f14bf0a9e7c809742f695adf80cfd3f5af4cbf32d
    Size: 4.14 MB

Asianux Server 7 for x86_64
  1. ntp-4.2.6p5-29.2.0.1.el7.AXS7.x86_64.rpm
    MD5: d57edc94baf9041fc26a6667d7f0c5a0
    SHA-256: a1b2cce3dfb932acbbd506442183e76090f3396087621621597f06ec0aabd56b
    Size: 547.75 kB
  2. ntpdate-4.2.6p5-29.2.0.1.el7.AXS7.x86_64.rpm
    MD5: 07fc0e13f6f97bb7b81e885443eb26b1
    SHA-256: d23ebf644b9526b0da70b26d32eeca3e46095dc8ed43a7bf435288ff842c8803
    Size: 85.76 kB