Der Network Time Protocol Daemon ntpd weist eine Schwachstelle auf, mit der ein Angreifer aus dem Netz root-Rechte auf dem betroffenen System erhalten kann.

Betroffene Systeme

• Vermutlich alle UNIX/Linux-Systeme, die ntpd installiert und aktiviert haben.
• Für FreeBSD 4.2-STABLE und Red Hat Linux 7.0 kursiert bereits ein exploit.
• Möglicherweise weitere Network Time Protocol-Dienste, auch unter anderen Betriebssystemen, die auf derselben Codebasis implementiert wurden.

Typ der Verwundbarkeit
buffer overflow bug (kein lokaler Zugang benötigt)

Beschreibung
Der ntpd-Server wird verwendet, um anderen Hosts zu gestatten, über das Network Time Protocol die Uhrzeit dem Server-System anzugleichen. Dieser Server enthält einen buffer overflow bug, der es einem Angreifer, der über das Netz UDP-Pakete an den entsprechenden Server-Dienst schicken kann, ermöglicht, etwa 70 Bytes Maschinencode mit den Rechten des ntpd-Servers auszuführen (meist sind dies root-Privilegien). Bei sorgfältiger Formulierung dieses Maschinencodes ist eine Kompromittierung des betroffenen Systems möglich (remote root exploit).

Gefahrenpotential
sehr hoch
(da NTP auf UDP basiert, kann der Angreifer leicht die Quell-IP-Adresse verfälschen).
(Hinweise zur Einstufung des Gefahrenpotentials.)

Gegenmaßnahmen

• Verwenden des Patches aus FreeBSD-CURRENT.
• Für Debian GNU/Linux gibt es aktualisierte Pakete.
• NetBSD bietet ebenfalls eine korrigierte Fassung an.
• Umstieg auf NTP 4.0.99m-rc1 oder eine aktuellere Version.

Workaround

• Deaktivieren des ntpd-Dienstes, wobei dafür Sorge getragen werden sollte, daß dieser Dienst nicht nach einem system reboot wieder gestartet wird.
• Sperren von NTP am Paketfilter zum Schutz des Netzes vor Angriffen von außen

Weitere Artikel zu diesem Thema:

• [Generic/xntpd] xntpd ebenfalls von ntpd-Schwachstelle betroffen (2001-04-25)
  Der Time-Server xntpd ist ebenfalls von der bekanntgeworden Schwachstelle in ntpd betroffen.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/