Se
han anunciado cinco
vulnerabilidades en el
protocolo Network Time Protocol (NTP),
que podrían permitir provocar
condiciones de denegación de servicio.
NTP es un protocolo estándar para
la sincronización de relojes de máquinas interconectadas a través de redes de
datos, en particular Internet. Este protocolo permite que el reloj de un
sistema mantenga una gran precisión, independientemente de su calidad
intrínseca y de las condiciones de la red.
Los problemas corregidos se
refieren a una denegación de servicio en el tratamiento de paquetes CRYPTO-NAK (con CVE-2016-4957). Una autenticación errónea
puede inmovilizar asociaciones efímeras (CVE-2016-4953). El tratamiento de paquetes falsificados
puede afectar a variables peer (CVE-2016-4954). Pueden reiniciarse las Asociaciones Autokey
al recibir repetidamente paquetes falsificados (CVE-2016-4955). El parche Sec 2978 (publicado
en abril de este año) no cubría las asociaciones Broadcast
lo que podría ser aprovechado para cambiar los clientes broadcast a modo entrelazado
(CVE-2016-4956).
Se recomienda actualizar a la versión 4.2.8p8
disponible desde:
Más información:
June 2016 ntp-4.2.8p8 NTP Security
Vulnerability Announcement (HIGH)
NTP.org
ntpd is vulnerable to denial of service and other vulnerabilities
Antonio Ropero
Twitter: @aropero
No hay comentarios:
Publicar un comentario