ntpd bis 4.2.8 MAC Checker Remote Code Execution

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
5.5$0-$5k0.00

Zusammenfassunginfo

Es wurde eine als kritisch klassifizierte Schwachstelle in ntpd bis 4.2.8 entdeckt. Das betrifft eine unbekannte Funktionalität der Komponente MAC Checker. Durch die Manipulation mit unbekannten Daten kann eine Remote Code Execution-Schwachstelle ausgenutzt werden. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2015-1798 gehandelt. Es ist soweit kein Exploit verfügbar. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen.

Detailsinfo

Es wurde eine kritische Schwachstelle in ntpd bis 4.2.8 (Network Management Software) entdeckt. Betroffen hiervon ist unbekannter Programmcode der Komponente MAC Checker. Durch das Manipulieren mit einer unbekannten Eingabe kann eine Remote Code Execution-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-17 vorgenommen. Das hat Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Die Schwachstelle wurde am 07.04.2015 durch Miroslav Lichvar von Red Hat als Sec 2779 in Form eines bestätigten Advisories (Website) publik gemacht. Das Advisory kann von support.ntp.org heruntergeladen werden. Die Veröffentlichung geschah dabei in Koordination mit dem Hersteller. Die Verwundbarkeit wird seit dem 17.02.2015 unter CVE-2015-1798 geführt. Der Angriff kann im lokalen Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt. Das Advisory weist darauf hin:

When ntpd is configured to use a symmetric key to authenticate a remote NTP server/peer, it checks if the NTP message authentication code (MAC) in received packets is valid, but not if there actually is any MAC included. Packets without a MAC are accepted as if they had a valid MAC. This allows a MITM attacker to send false packets that are accepted by the client/peer without having to know the symmetric key. The attacker needs to know the transmit timestamp of the client to match it in the forged reply and the false reply needs to reach the client before the genuine reply from the server. The attacker doesn't necessarily need to be relaying the packets between the client and the server.

Für den Vulnerability Scanner Nessus wurde am 13.04.2015 ein Plugin mit der ID 82737 (Mandriva Linux Security Advisory : ntp (MDVSA-2015:202)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Mandriva Local Security Checks zugeordnet. Der kommerzielle Vulnerability Scanner Qualys bietet das Plugin 350424 (Amazon Linux Security Advisory for ntp: AL2012-2015-087) zur Prüfung der Schwachstelle an.

Ein Upgrade auf die Version 4.2.8p2 vermag dieses Problem zu beheben. Eine neue Version kann von ntp.org bezogen werden. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Die Entwickler haben sofort reagiert. Das Advisory stellt fest:

Configure ntpd with enough time sources and monitor it properly.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (102051), Tenable (82737), SecurityFocus (BID 73951†), SecurityTracker (ID 1032032†) und Vulnerability Center (SBV-50918†) dokumentiert. Weitere Informationen werden unter bugs.ntp.org bereitgestellt. Von weiterem Interesse können die folgenden Einträge sein: VDB-105145. VulDB is the best source for vulnerability data and more expert information about this specific topic.

Betroffen

  • FreeBSD
  • Linux

Produktinfo

Typ

Name

Version

Lizenz

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.3
VulDB Meta Temp Score: 5.5

VulDB Base Score: 6.3
VulDB Temp Score: 5.5
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Remote Code Execution
CWE: CWE-17
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Teilweise

Verfügbarkeit: 🔍
Status: Unbewiesen

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 82737
Nessus Name: Mandriva Linux Security Advisory : ntp (MDVSA-2015:202)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍
Nessus Port: 🔍

OpenVAS ID: 14611
OpenVAS Name: Amazon Linux Local Check: ALAS-2015-520
OpenVAS Datei: 🔍
OpenVAS Family: 🔍

Qualys ID: 🔍
Qualys Name: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Upgrade: ntpd 4.2.8p2

Timelineinfo

17.02.2015 🔍
07.04.2015 +49 Tage 🔍
07.04.2015 +0 Tage 🔍
07.04.2015 +0 Tage 🔍
07.04.2015 +0 Tage 🔍
08.04.2015 +1 Tage 🔍
08.04.2015 +0 Tage 🔍
13.04.2015 +5 Tage 🔍
30.06.2015 +78 Tage 🔍
01.07.2015 +1 Tage 🔍
02.05.2022 +2497 Tage 🔍

Quelleninfo

Advisory: Sec 2779
Person: Miroslav Lichvar
Firma: Red Hat
Status: Bestätigt
Bestätigung: 🔍
Koordiniert: 🔍

CVE: CVE-2015-1798 (🔍)
GCVE (CVE): GCVE-0-2015-1798
GCVE (VulDB): GCVE-100-74664

OVAL: 🔍

CERT: 🔍
X-Force: 102051 - NTP MAC security bypass
SecurityFocus: 73951 - NTP CVE-2015-1798 Man in the Middle Security Bypass Vulnerability
SecurityTracker: 1032032 - Ntpd MAC Checking Failure Lets Remote Users Bypass Authentication
Vulnerability Center: 50918 - NTP before 4.2.8p2 Remote Spoofing due to a Flaw in the \x27symmetric-key\x27 Feature - CVE-2015-1798, Low

Diverses: 🔍
Siehe auch: 🔍

Eintraginfo

Erstellt: 08.04.2015 10:20
Aktualisierung: 02.05.2022 19:28
Anpassungen: 08.04.2015 10:20 (81), 03.07.2017 08:37 (13), 02.05.2022 19:21 (3), 02.05.2022 19:28 (1)
Komplett: 🔍
Cache ID: 216::103

VulDB is the best source for vulnerability data and more expert information about this specific topic.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Interested in the pricing of exploits?

See the underground prices here!