Az ICS-CERT (Industrial Control Systems Cyber Emergency Response Team) által közzétett tájékoztató szerint a Hálózati Idő Protokollban (Network Time Protocol, NTP) található egy multiple stack buffer overflow hiba, amely lehetőséget ad a támadónak az ntpd jogosultságaival kódot futtatni távolról. Ehhez egy megfelelően előkészített adatcsomagot kell csak az áldozat gépére küldeni. A közlemény szerint az összes NTP4-kiadás érintett és sebezhető, kizárólag a napokban megjelent 4.2.8-as verzió számít biztonságosnak, melyben a sebezhetőséget már kijavították.
A sérülékenységet kihasználó kódok nyilvánosságra kerültek, ráadásul ezeket sem sokkal bonyolultabb használni, mint egy LOIC akciót elindítani, tehát nem kell hozzá érdemi informatikai tudás, írja az ICS-CERT. Védekezni tehát az NTP frissítésével lehet.
Frissítés:
Mivel a 4.2.7-es NTP és az ennél korábbi verziók mindegyike érintett, a szakértők azt javasolják, minden cég, szervezet tesztelje le, hogy sikerül-e valamelyik hibát kihasználni, túltölteni a tárolókat. A sebezhetőség egyik kulcsa az ntp-keygen ami az NTPv4 hitelesítési és azonosítási rendszereihez generál MD5 kulcsokat (szimmetrikus kulcstitkosítás). Ezen túl, ha az OpenSSL könyvtár is installálva van, akkor lehet kulcsokat, hitelesítő adatokat és azonosító fájlokat generáltatni vele a nyilvános kulcstitkosításhoz is.
Négy sebezhetőségről van szó:
- Elégtelen entrópia (CWE-332)
- Kriptografikusan gyenge pszeudo-véletlen számgenerátor (CWE-338)
- Veremtúlcsordulás (stack-based buffer overflow) (CWE-121)
- Hiányzó RETURN hibára futás esetén (CWE-389)
Az ICS is frissítette tájékoztatóját, melyben kiemelik, mégsincs ismert exploit ami kifejezetten ezeket a biztonsági réseket támadná. Ez tehát azt jelenti, hogy mégsem készült eddig grafikus felületű „gyerekjáték”. Azt azonban a frissítés is kiemeli, hogy egészen alacsony szintű képességekkel is kihasználhatóak a rések.
A Microsoft termékeit a sebezhetőség elvileg nem érinti, a redmondiaknak saját NTP implementációjuk van. Ez persze nem zárja ki, hogy ott is megtalálható legyen a hiba. Ezzel szemben az Apple olyan döntést hozott, amilyet eddig még nem: automatikus frissítést küldött az OS X operációs rendszerrel üzemelő gépekre. A FreeBSD, az NTP Project, az OmniTI, vagy épp a Watchguard Technologies rendszeri is érintettek.
