DSA-3108-1 ntp -- обновление безопасности

Высокая (7.5)

(AV:N/AC:L/Au:N/C:P/I:P/A:P)

Debian

ntp (any)

В пакете ntp, реализации Network Time Protocol, были обнаружены
несколько уязвимостей.

CVE-2014-9293
ntpd создаёт слабый ключ для внутреннего использования, имеющий полные
    административные привилегии. Злоумышленники могут использовать этот ключ для
    изменения настроек ntpd (либо для использования других уязвимостей).
CVE-2014-9294
Утилита ntp-keygen создаёт слабые ключи MD5 с недостаточной
    энтропией.
CVE-2014-9295
ntpd содержит несколько переполнений буфера (и в стеке, и в
    данных), позволяющих удалённым аутентифицированным злоумышленникам аварийно
    завершать работу ntpd, либо потенциально выполнять произвольный код.
CVE-2014-9296
Функция обработки пакетов в ntpd неправильно обрабатывает
    состояние ошибки.

Настройки ntpd по умолчанию в Debian ограничивают доступ к локальной машине
(вероятно, также и смежной сети в случае IPv6).
Ключи, созданные с помощью команды "ntp-keygen -M", должны быть созданы заново.
В стабильном выпуске (wheezy) эти проблемы были исправлены в
версии 1:4.2.6.p5+dfsg-2+deb7u1.
Рекомендуется обновить пакеты ntp.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 7:
noarch:
ntp - 1:4.2.6.p5+dfsg-2+deb7u1

http://www.debian.org/security/dsa-3108/

Источник: CVE
Наименование: CVE-2014-9296
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-9296

Источник: CVE
Наименование: CVE-2014-9294
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-9294

Источник: CVE
Наименование: CVE-2014-9295
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-9295

Источник: CVE
Наименование: CVE-2014-9293
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-9293