El investigador de Red
Hat Miroslav Lichvar ha reportado una vulnerabilidad de autenticación
incorrecta y otra de denegación de servicio en ntpd, catalogada de Importancia:
3 - Media
Recursos afectados
- La vulnerabilidad de autenticación incorrecta afecta a todas las versiones de NTP4 posteriores a ntp-4.2.5p99 y anteriores a 4.2.8p2.
- La vulnerabilidad de denegación de servicio afecta a todas las versiones de NTP anteriores a 4.2.8p2.
- Actualizar a la versión 4.2.8p2 de ntpd, o a versiones posteriores.
- La vulnerabilidad de autenticación incorrecta de los paquetes recibidos por pares NTP4 se debe a que ntpd no rechaza aquellos que no incluyen un MAC (Message Authentication Code), permitiendo a un atacante enviar paquetes falseados. Se ha reservado el identificador CVE-2015-1798.
- Un atacante puede provocar una denegación de servicio sobre dos equipos con una comunicación establecida mediante el envío de paquetes especialmente manipulados. Estos paquetes causan cambios en los valores de las variables de estado NTP de ambos clientes, haciendo que rechacen posteriormente los recibidos por su interlocutor legítimo y evitando por lo tanto la sincronización entre ambos. Se ha reservado el identificador CVE-2015-1799.
- April 2015 NTP Security Vulnerability Announcement http://support.ntp.org/bin/view/Main/SecurityNotice#April_2015_NTP_Security_Vulnerab
