Debian DLA-116-1：ntp 安全更新

high Nessus 插件 ID 82099

语言：

简介

远程 Debian 主机缺少安全更新。

描述

已在 ntp 程序包（即网络时间协议的实现）中发现多个漏洞。

CVE-2014-9293

ntpd 通过完全管理权限生成弱密钥供其内部使用。攻击者可利用此密钥重新配置 ntpd（或利用其他漏洞）。

CVE-2014-9294

ntp-keygen 实用工具生成了熵不足的弱 MD5 密钥。

CVE-2014-9295

ntpd 有多个缓冲区溢出（位于堆栈上和数据部分中），从而允许经过认证的远程攻击者使 ntpd 崩溃或可能执行任意代码。

CVE-2014-9296

ntpd 中的通用数据包处理函数未正确处理错误情况。

Debian 中的默认 ntpd 配置限制对 localhost 的访问（并可能在 IPv6 的情况下限制对相邻网络的访问）。

应重新生成明确由“ntp-keygen -M”生成的密钥。

对于旧稳定发行版本 (squeeze)，已在版本 4.2.6.p2+dfsg-1+deb6u1 中修复这些问题。

我们建议您升级 heirloom-mailx 程序包。

感谢 Florian Weimer 促成此项 Red Hat 安全更新。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。