NTP Daemon तक 4.2.7 Random Generator ntp_config.c config_auth कमजोर प्रमाणीकरण
| CVSS मेटा अस्थायी स्कोर | वर्तमान एक्सप्लॉइट मूल्य (≈) | CTI रुचि स्कोर |
|---|---|---|
| 6.6 | $0-$5k | 0.00 |
सारांश
एक भेद्यता जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, NTP Daemon तक 4.2.7 में खोजी गई है। प्रभावित है फ़ंक्शन config_auth फ़ाइल ntp_config.c की घटक Random Generator की। हेरफेर के कारण कमजोर प्रमाणीकरण होती है।
यह कमजोरी CVE-2014-9293 के नाम से सूचीबद्ध है। कोई शोषण मौजूद नहीं है.
प्रभावित घटक को अपग्रेड करने की सिफारिश की जाती है।
विवरण
एक भेद्यता जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, NTP Daemon तक 4.2.7 में खोजी गई है। प्रभावित है फ़ंक्शन config_auth फ़ाइल ntp_config.c की घटक Random Generator की। हेरफेर के कारण कमजोर प्रमाणीकरण होती है। समस्या को घोषित करने के लिए CWE का उपयोग करने से CWE-287 की ओर ले जाता है। यह कमजोरी प्रकाशित हुई थी 21/12/2014 द्वारा Neel Mehta के साथ Google के रूप में Sec 2665 के रूप में Blog Post (Bug Tracker). एडवाइजरी डाउनलोड के लिए bugs.ntp.org पर साझा की गई है।
यह कमजोरी CVE-2014-9293 के नाम से सूचीबद्ध है। CVE आवंटन 05/12/2014 को हुआ था. तकनीकी जानकारी उपलब्ध है. इस भेद्यता की लोकप्रियता औसत से कम है। कोई शोषण मौजूद नहीं है. इस समय एक एक्सप्लॉइट की मौजूदा कीमत might be approx. USD $0-$5k है। एडवाइजरी में उल्लेख किया गया है:
If no auth key is set in the configuration file, ntpd would generate a random key on the fly. There were two problems with this: 1) the generated key was 31 bits in size, and 2) it used the (now weak) ntp_random() function, which was seeded with a 32 bit value and can only provide 32 bits of entropy. This was sufficient back in the late 1990s when this code was written. Not today.
0-डे के रूप में अनुमानित अंडरग्राउंड कीमत लगभग $0-$5k थी. Nessus द्वारा 80154 आईडी वाला एक प्लगइन दिया गया है। इसे Oracle Linux Local Security Checks फैमिली के अंतर्गत रखा गया है। यह 0 पोर्ट का उपयोग कर रहा है. वाणिज्यिक वल्नरेबिलिटी स्कैनर Qualys इस समस्या का परीक्षण 350240 प्लगइन से कर सकता है (Amazon Linux Security Advisory for ntp: ALAS-2014-462).
4.2.7p11 संस्करण में अपग्रेड करने से इस समस्या का समाधान हो सकता है। अगर restrict ... noquery कॉन्फ़िगरेशन सेटिंग लागू की जाती है, तो समस्या को रोका जा सकता है। प्रभावित घटक को अपग्रेड करने की सिफारिश की जाती है।
कमज़ोरी अन्य कमज़ोरी डेटाबेस में भी प्रलेखित है: SecurityFocus (BID 71757), X-Force (99576), Secunia (SA62209), SecurityTracker (ID 1031411) , Vulnerability Center (SBV-47959).
उत्पाद
प्रकार
नाम
संस्करण
लाइसेंस
CPE 2.3
CPE 2.2
CVSSv4
VulDB वेक्टर: 🔍VulDB विश्वसनीयता: 🔍
CVSSv3
VulDB मेटा बेस स्कोर: 7.6VulDB मेटा अस्थायी स्कोर: 6.6
VulDB मूल स्कोर: 7.6
VulDB अस्थायी स्कोर: 6.6
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| सदिश | जटिलता | प्रमाणीकरण | गोपनीयता | अखंडता | उपलब्धता |
|---|---|---|---|---|---|
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
| अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍
NVD मूल स्कोर: 🔍
शोषण
वर्ग: कमजोर प्रमाणीकरणCWE: CWE-287
CAPEC: 🔍
ATT&CK: 🔍
भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ
उपलब्धता: 🔍
स्थिति: असिद्ध
EPSS Score: 🔍
EPSS Percentile: 🔍
मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍
| 0-Day | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
|---|---|---|---|---|
| आज | अनलॉक करना | अनलॉक करना | अनलॉक करना | अनलॉक करना |
Nessus ID: 80154
Nessus नाम: Oracle Linux 6 / 7 : ntp (ELSA-2014-2024)
Nessus Arquivo: 🔍
Nessus जोखिम: 🔍
Nessus परिवार: 🔍
Nessus Port: 🔍
OpenVAS ID: 703108
OpenVAS नाम: Debian Security Advisory DSA 3108-1 (ntp - security update)
OpenVAS Arquivo: 🔍
OpenVAS परिवार: 🔍
Qualys ID: 🔍
Qualys नाम: 🔍
खतरे की खुफिया
रुचि: 🔍सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍
प्रतिव्यवस्था
सिफारिश: अपग्रेडस्थिति: 🔍
0-दिवसीय समय: 🔍
अपग्रेड: NTP Daemon 4.2.7p11
Config: restrict ... noquery
समयरेखा
28/01/2010 🔍05/12/2014 🔍
19/12/2014 🔍
19/12/2014 🔍
19/12/2014 🔍
20/12/2014 🔍
21/12/2014 🔍
22/12/2014 🔍
22/12/2014 🔍
07/01/2015 🔍
13/01/2015 🔍
01/03/2022 🔍
स्रोत
सलाह: Sec 2665शोधकर्ता: Neel Mehta
संगठन: Google
स्थिति: पुष्टि की गई
पुष्टि: 🔍
CVE: CVE-2014-9293 (🔍)
GCVE (CVE): GCVE-0-2014-9293
GCVE (VulDB): GCVE-100-68456
OVAL: 🔍
CERT: 🔍
X-Force: 99576 - NTP config_auth function weak security, Medium Risk
SecurityFocus: 71757 - NTP 'ntp_config.c' Insufficient Entropy Security Weakness
Secunia: 62209 - Cisco ACNS (Application and Content Networking System) NTP Multiple Buffer Overflow Vulner, Highly Critical
SecurityTracker: 1031411 - NTP Uses Weak Default Encryption Key and Weak RNG Seed
Vulnerability Center: 47959 - NTP 4.x before 4.2.7p11 Remote Security Restrictions Bypass due to Weak Cryptographic Protection, High
यह भी देखें: 🔍
प्रविष्टि
बनाया गया: 22/12/2014 08:36 AMअद्यतनित: 01/03/2022 02:13 PM
परिवर्तन: 22/12/2014 08:36 AM (92), 17/06/2017 07:41 AM (8), 01/03/2022 02:13 PM (3)
पूर्ण: 🔍
Cache ID: 216::103
VulDB is the best source for vulnerability data and more expert information about this specific topic.
अभी तक कोई टिप्पणी नहीं भाषाएँ: hi + ne + en.
टिप्पणी करने के लिए कृपया लॉगिन करें