公開日：2009/12/09 最終更新日：2015/10/21
JVNVU#568372
NTP におけるサービス運用妨害 (DoS) の脆弱性
NTP には、mode 7 パケットの処理に起因する脆弱性が存在します。
- NTP 4.2.4p8 より前のバージョン
NTP では、"restrict ... noquery" や "restrict ... ignore" の設定による制限をしていない IP アドレスから、不正な mode 7 リクエストまたは mode 7 エラーレスポンスを受信した場合、mode 7 エラーメッセージを返し、ログに記録します。
NTP には、送信元アドレスを詐称した mode 7 パケットの処理に起因する脆弱性が存在します。
遠隔の第三者によって、サービス運用妨害 (DoS) 攻撃を受ける可能性があります。
アップデートする
開発者が提供する情報をもとに最新版にアップデートしてください。
ワークアラウンドを実施する
対策版を適用するまでの間、以下の回避策を適用することで、本脆弱性の影響を軽減することが可能です。
- NTP の設定で送信元アドレスの制限を行う
- 送信元と宛先の両方を 123 番ポートに指定しているパケットをフィルタリングする
- IP アドレスのアンチスプーフィングフィルタを利用する
| ベンダ | ステータス | ステータス 最終更新日 |
ベンダの告知ページ |
|---|---|---|---|
| 富士通株式会社 | 該当製品あり | 2015/10/09 | |
| 日本電気株式会社 | 該当製品あり | 2010/12/28 | |
| 株式会社インターネットイニシアティブ | 該当製品あり | 2009/12/09 |
| ベンダ | リンク |
| Network Time Protocol project | NTP Software Downloads |
| Security Notice - DoS attack from certain NTP mode 7 packets |
2009.12.09における脆弱性分析結果
| 評価尺度 | 攻撃成立条件 | 評価値 |
|---|---|---|
| 攻撃経路 | インターネット経由からの攻撃が可能 |
|
| 認証レベル | 匿名もしくは認証なしで攻撃が可能 |
|
| 攻撃成立に必要なユーザーの関与 | ユーザが何もしなくても脆弱性が攻撃される可能性がある |
|
| 攻撃の難易度 | ある程度の専門知識や運 (条件が揃う確率は高い) が必要 |
|
| JPCERT 緊急報告 | |
| JPCERT REPORT | |
| CERT Advisory | |
| CPNI Advisory | |
| TRnotes | |
| CVE |
CVE-2009-3563 |
| JVN iPedia |
JVNDB-2009-002446 |
- 2009/12/09
- 対策方法の誤植を修正しました。
- 2009/12/10
- 日本電気の JVNVU#568372への対応が更新されました。
- 2010/01/14
- 富士通の JVNVU#568372への対応が更新されました。
- 2010/01/27
- 日本電気の JVNVU#568372への対応が更新されました。
- 2010/05/21
- 関連文書に JVN iPedia へのリンクを追加しました。
- 2010/12/21
- 富士通株式会社のベンダステータスが更新されました
- 2010/12/28
- 日本電気株式会社のベンダステータスが更新されました
- 2015/10/21
- 富士通株式会社のベンダステータスが更新されました
