BDU:2015-09749

Опубликовано: 10 янв. 2014

Источник: fstec

CVSS3: 4.7

CVSS2: 5

EPSS Критический

Описание

Уязвимость демона ntpd реализации протокола синхронизации времени NTP связана с недостаточным контролем объема передаваемых сетевых сообщений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально созданных запросов REQ_MON_GETLIST или REQ_MON_GETLIST_1

Вендор

Novell Inc.

IBM Corp.

Oracle Corp.

Fortinet Inc.

Network Time Foundation

Наименование ПО

openSUSE

AIX

Oracle Linux

FortiAnalyzer

NTP

Версия ПО

11.4 (openSUSE)

5.3 (AIX)

6.1 (AIX)

7.1 (AIX)

7 (Oracle Linux)

6 (Oracle Linux)

до 6.2.3 включительно (FortiAnalyzer)

6.4.0 (FortiAnalyzer)

до 4.2.7p26 (NTP)

Тип ПО

Операционная система

ПО программно-аппаратных средств защиты

Сетевое программное средство

Операционные системы и аппаратные платформы

Novell Inc. openSUSE 11.4

IBM Corp. AIX 5.3

IBM Corp. AIX 6.1

IBM Corp. AIX 7.1

Oracle Corp. Oracle Linux 7

Oracle Corp. Oracle Linux 6

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,7)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для NTP:

http://www.ntp.org/downloads.html

https://doc.ntp.org/downloads/

Для FortiAnalyzer:

https://www.fortiguard.com/psirt/FG-IR-20-036

Для продуктов Novell Inc.:

https://lists.opensuse.org/archives/list/updates@lists.opensuse.org/message/RJLJ3M5Z7GBR7PREOCKUZZUYTG3KBKHN/

Для Oracle Linux:

https://www.oracle.com/security-alerts/linuxbulletinjul2016.html

Для AIX:

http://aix.software.ibm.com/aix/efixes/security/ntp_advisory.asc

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 100%

0.9173

Критический

4.7 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2013-5211

ubuntu

почти 12 лет назад

The monlist feature in ntp_request.c in ntpd in NTP before 4.2.7p26 allows remote attackers to cause a denial of service (traffic amplification) via forged (1) REQ_MON_GETLIST or (2) REQ_MON_GETLIST_1 requests, as exploited in the wild in December 2013.