2015-1640: NTP: Mehrere Schwachstellen ermöglichen die Manipulation der Zeitangabe des NTP-Servers

Historie:

Version 1 (2015-10-22 21:07): Neues Advisory
Version 2 (2015-10-23 14:20): Cisco aktualisiert die Sicherheitsmeldung mit einer Liste von Produkten, die derzeit untersucht werden und ersten Ergebnissen bzgl. verwundbarer und nicht verwundbarer Produkte. F5 Networks veröffentlicht ein Security Advisory zu den auch von Cisco aufgeführten Schwachstellen. Zum aktuellen Zeitpunkt liegen jedoch noch keine Informationen über eine Verwundbarkeit der Produkte vor. F5 kündigt an, das Advisory zu aktualisieren, sobald entsprechende Analyseergebnisse vorhanden sind.
Version 3 (2015-10-26 14:50): Juniper veröffentlicht einen Sicherheitshinweis zunächst ganz allgemein für Junos OS, ohne weitere Versionsangaben, in dem NTP allerdings in den Grundeinstellungen nicht aktiviert ist. Darüber hinaus ist auf der SRX Series-Plattform die Grundeinstellung so gewählt, dass NTP-Datenverkehr so lange nicht durchgelassen ist bis dieser explizit erlaubt wird. Der Sicherheitshinweis soll zukünftig über weitere betroffene Produkte und Plattformen Auskunft geben, sobald die derzeit laufenden Untersuchungen neue Erkenntnisse bringen. Für Fedora 21, 22 und 23 stehen Backport-Sicherheitsupdates im Status 'testing' zur Verfügung, durch die die Schwachstellen CVE-2015-5300, CVE-2015-7691, CVE-2015-7692, CVE-2015-7701, CVE-2015-7702, CVE-2015-7704, CVE-2015-7852 und CVE-2015-7871 behoben werden.
Version 4 (2015-10-28 15:51): Cisco aktualisiert die Sicherheitsmeldung mit den Ergebnissen der stattfindenden Analysen erneut und benennt jetzt u.a. die folgenden Produkte als betroffen: Cisco Intrusion Prevention System Solutions (IPS), Cisco Secure Access Control Server (ACS), Cisco Unity Express, Cisco TelePresence Video Communication Server (VCS) und Cisco Expressway Series.
Version 5 (2015-10-29 11:56): Cisco listet unter den betroffenen Produkten jetzt auch die Cisco Identity Services Engine (ISE), Cisco IOS XR Software, Cisco MDS 9000 Series Multilayer Switches, Cisco Nexus 3000 Series Switches und das Cisco Unified Computing System E-Series Blade Server auf. Sicherheitsupdates stehen weiterhin nicht zur Verfügung, lediglich für einige Cisco TelePresence Produkte werden Sicherheitsupdates für Februar 2016 angekündigt.
Version 6 (2015-11-02 15:05): F5 Networks bestätigt mittlerweile die Betroffenheit vieler F5 Produkte u.a. des BIG-IP Protocol Security Modules in den Versionen 11.0.0 - 11.4.1 und 10.1.0 - 10.2.4, wobei das Modul nicht anfällig gegenüber den Schwachstellen CVE-2015-7871, CVE-2015-7854, CVE-2015-7851 und CVE-2015-7849 ist. Cisco bestätigt die Betroffenheit weiterer Produkte, dazu zählen die Wide Area Application Services sowie Nexus 7000 und Nexus 9000 Series Switches.
Version 7 (2015-11-11 11:42): F5 Networks aktualisiert die Informationen zur Betroffenheit der F5 Produkte und Versionen und stellt jetzt für einzelne Schwachstellen oder kleine Gruppen von Schwachstellen gesonderte Sicherheitshinweise zur Verfügung. Für das BIG-IP Protocol Security Module ergeben sich folgende Änderungen und Detaillierungen: Während zunächst angegeben wurde, dass das Protocol Security Module nicht durch die Schwachstelle CVE-2015-7871 angreifbar ist, wurden jetzt die Versionen 11.4.1 HF9 und 11.4.0 HF10 als verwundbar genannt. Die Schwachstelle CVE-2015-7704 betrifft ebenfalls nur die beiden vorgenannten HotFix Versionen. Und das Protocol Security Module ist nicht verwundbar durch die Schwachstellen CVE-2015-7691, CVE-2015-7692 und CVE-2015-7702.
Version 8 (2015-11-12 14:37): Cisco hat nach weiteren Analysen die Listen betroffener und nicht betroffener Produkte aktualisiert. Der aktuelle Stand kann dem referenzierten Cisco-Advisory entnommen werden.
Version 9 (2015-11-17 13:27): Cisco hat erneut die Listen betroffener und nicht betroffener Produkte aktualisiert. Insbesondere Cisco IOS/IOS XE sind betroffen, Cisco IOS XR wurde nach weiteren Untersuchungen dagegen als doch nicht betroffen eingestuft.
Version 10 (2015-11-18 16:59): Für openSUSE Leap 42.1 steht ein Sicherheitsupdate auf die NTP Version 4.2.8p4 zur Verfügung. F5 Networks aktualisiert die Information zur Betroffenheit der F5 Produkte und Versionen bezüglich CVE-2015-5300, die für openSUSE nicht referenziert wird.
Version 11 (2015-11-20 16:23): Für SUSE Linux Enterprise Server und Desktop 11-SP4 stehen Sicherheitsupdates zur Verfügung, um die Schwachstellen zu schließen.
Version 12 (2015-11-26 15:37): Cisco hat nach weiteren Analysen die Listen betroffener und nicht betroffener Produkte aktualisiert. Der aktuelle Stand kann dem referenzierten Cisco-Advisory entnommen werden.
Version 13 (2016-01-07 13:12): Cisco aktualisiert die referenzierte Sicherheitsmeldung und kündigt die Verfügbarkeit weiterer Sicherheitsupdates an. U.a. soll am 09.01.2016 die Cisco ASA CX und Cisco Prime Security Manager Version 9.3.4.4 als Sicherheitsupdate bereitstehen, für verschiedene Nexus Geräte werden Updates für Ende Januar angekündigt, ebenso für den Cisco Unified Communications Manager.
Version 14 (2016-01-22 11:31): Das Sicherheitsupdate FEDORA-2015-de44abca87 (Fedora 22) wurde zwischenzeitlich in den Status 'obsolete' versetzt. Für die Distribution Fedora 22 steht ein neues Backport-Sicherheitsupdate zur Verfügung, das sich allerdings derzeit noch im Status 'pending' befindet. Durch dieses sollen die Schwachstellen CVE-2015-5300, CVE-2015-7691, CVE-2015-7692, CVE-2015-7701, CVE-2015-7702, CVE-2015-7704, CVE-2015-7852 und CVE-2015-7871 sowie zusätzlich die mit NTP-4.2.8p6 adressierten Schwachstellen behoben werden (siehe gesondertes Advisory).
Version 15 (2016-03-22 11:26): F5 Networks aktualisiert die Sicherheitsmeldung sol17516, um über die Verfügbarkeit des BIG-IP PSM Hot Fixes 11.4.1 HF10 zu informieren, durch welchen die Schwachstelle CVE-2015-7852 adressiert wird.
Version 16 (2016-04-18 14:45): NetBSD veröffentlicht Sicherheitsupdates für alle derzeit unterstützten NetBSD Versionen. Die Schwachstelle CVE-2015-5300 wird nicht aufgeführt.

Betroffene Software

Server
Systemsoftware

Betroffene Plattformen

Hardware
Netzwerk
Cisco
F5
Juniper
Linux
UNIX

Beschreibung:

Mehrere Schwachstellen in der Implementierung des NTP-Daemons vor Version 4.2.8p4 können von einem entfernten, nicht authentisierten Angreifer zur Ausführung beliebigen Programmcodes, der Manipulation von Dateien, der Durchführung von Denial-of-Service-Angriffen und der Umgehung von Sicherheitsvorkehrungen ausgenutzt werden, wodurch die Manipulation der bereitgestellten Zeitangabe erreicht werden kann.

Die Schwachstellen sind in der NTP Version 4.2.8p4 behoben worden.

Cisco veröffentlicht ein Security Advisory, da viele Cisco Produkte den NTP-Daemon intern nutzen, zur Zeit existieren aber noch keine Details bezüglich der betroffenen Produkte und keine Sicherheitsupdates. Cisco kündigt an, die Analyseergebnisse und Updates über die referenzierte Seite zu veröffentlichen.

Als Workaround wird empfohlen, keine NTP-Anfragen von nicht vertrauten Systemen anzunehmen. Dafür können auf Systemen, die die Konfiguration mittels einer ntp.conf zulassen, "notrust" Anweisungen und eine "peer authentication" konfiguriert werden. In anderen Fällen sollten, mittels des "ntp access-group" Befehls, NTP-Anfragen gefiltert werden.

Die Schwachstelle CVE-2015-5300 wird im Cisco Security Advisory nicht erwähnt, ist aber Teil der dem Advisory zugrunde liegenden Schwachstellenanalyse der Boston University.

Schwachstellen:

CVE-2015-5300

Schwachstelle in NTP ermöglicht Umgehen von Sicherheitsvorkehrungen