DSA-3629-1 ntp -- обновление безопасности

Низкая (2.1)

(AV:N/AC:H/Au:S/C:N/I:P/A:N)

Debian

ntp (any)

В службе и утилитах NTP было обнаружено несколько
уязвимостей:

CVE-2015-7974
Мэтт Стрит обнаружил, что недостаточная проверка ключей позволяет
    выдавать себя за другого пользователя для аутентифицированных одноранговых узлов.
CVE-2015-7977
CVE-2015-7978
Стивен Грэй обнаружил, что разыменование NULL-указателя и
    переполнение буфера в коде обработки команд ntpdc reslist может
    приводить к отказу в обслуживании.
CVE-2015-7979
Аанчал Малхотра обнаружил, что если NTP настроен на использование режима
    широкого вещания, то злоумышленник может отправить специально сформированные пакеты аутентификации,
    которые приведут к поломке ассоциаций с сервером для других широковещательных клиентов.
CVE-2015-8138
Мэтью ван Ганди и Джонатан Гарднер обнаружили, что отсутствие
    проверки временных меток источника в клиентах ntpd может приводить к отказу
    в обслуживании.
CVE-2015-8158
Джонатан Гарднер обнаружил, что отсутствие очистки входных данных в ntpq
    может приводить к отказу в обслуживании.
CVE-2016-1547
Стивен Грэй и Мэтью ван Ганди обнаружили, что некорректная обработка
    пакета Crypto-NAK может приводить к отказу в обслуживании.
CVE-2016-1548
Джонатан Гарднер и Мирослав Личвар обнаружили, что клиентов ntpd
    можно заставить перейти из базового режима клиент/сервер в чередующийся
    симметричный режим, что не позволяет выполнить синхронизацию времени.
CVE-2016-1550
Мэтью ван Ганди, Стивен Грэй и Логанаден Велвиндрон обнаружили,
    что утечки таймингов в коде аутентификации пакетов могут приводить
    к восстановлению дайджеста сообщения.
CVE-2016-2516
Ихань Лянь обнаружил, что дублирующие IP в директивах unconfig приводят
    к выполнению утвержения.
CVE-2016-2518
Ихань Лянь обнаружил, что доступ к памяти OOB потенциально может
    приводить к аварийному завершению ntpd.

В стабильном выпуске (jessie) эти проблемы были исправлены в
версии 1:4.2.6.p5+dfsg-7+deb8u2.
В тестируемом выпуске (stretch) эти проблемы были исправлены
в версии 1:4.2.8p7+dfsg-1.
В нестабильном выпуске (sid) эти проблемы были исправлены в
версии 1:4.2.8p7+dfsg-1.
Рекомендуется обновить пакеты ntp.

Проблема может быть решена обновлением операционной системы до следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 8:
noarch:
ntp - 1:4.2.6.p5+dfsg-7+deb8u2

http://www.debian.org/security/dsa-3629/

Источник: CVE
Наименование: CVE-2016-2518
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2518

Источник: CVE
Наименование: CVE-2015-7977
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7977

Источник: CVE
Наименование: CVE-2015-7974
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7974

Источник: CVE
Наименование: CVE-2015-7978
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7978

Источник: CVE
Наименование: CVE-2015-7979
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-7979

Источник: CVE
Наименование: CVE-2016-2516
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-2516

Источник: CVE
Наименование: CVE-2015-8138
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-8138

Источник: CVE
Наименование: CVE-2016-1547
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-1547

Источник: CVE
Наименование: CVE-2016-1550
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-1550

Источник: CVE
Наименование: CVE-2016-1548
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-1548

Источник: CVE
Наименование: CVE-2015-8158
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2015-8158