2016-0898: NTP: Mehrere Schwachstellen ermöglichen verschiedene Denial-of-Service-Angriffe

Historie:

Version 1 (2016-06-02 20:28): Neues Advisory
Version 2 (2016-06-06 12:50): Das FreeBSD Projekt stellt fest, dass alle derzeit unterstützten FreeBSD Versionen von den Schwachstellen betroffen sind und stellt für die Versionen 9.3-STABLE und 10.3-STABLE sowie in Form der Releases 9.3-RELEASE-p44, 10.1-RELEASE-p36, 10.2-RELEASE-p19 und 10.3-RELEASE-p5 Sicherheitsupdates bereit. Cisco informiert, dass das angreifbare NTP-Paket in einer Reihe von Cisco Produkten eingesetzt wird, die Analysen zu den verwundbaren Produkten noch nicht abgeschlossen sind, Updates zu den betroffenen oder nicht verwundbaren Produkten über das referenzierte Security Advisory veröffentlicht werden und Cisco plant Sicherheitsupdates zur Behebung der Schwachstellen zur Verfügung zu stellen. Zum jetzigen Zeitpunkt werden u.a. die Produkte Cisco Prime Security Manager, Cisco Prime Infrastructure und die Cisco FireSIGHT System Software als verwundbare benannt.
Version 3 (2016-06-07 15:18): Cisco aktualisiert mit einem Update der Sicherheitsmeldung cisco-sa-20160603-ntpd die Liste der als verwundbar identifizierten Produkte. Zusätzlich zu den ursprünglich genannten werden u.a. die Produkte Cisco Wide Area Application Services (WAAS), Cisco Prime Collaboration Provisioning, Cisco Connected Grid Router, Cisco Nexus 4000 Series Blade Switches, Cisco Unified Communications Domain Manager, Cisco Enterprise Content Delivery System (ECDS), Cisco Expressway Series, Cisco TelePresence MX Series, Cisco TelePresence System EX Series, Cisco TelePresence Video Communication Server (VCS), Cisco Telepresence Integrator C Series, Cisco Video Distribution Suite for Internet Streaming (VDS-IS/CDS-IS) und Cisco Video Surveillance Media Server als verwundbar benannt.
Version 4 (2016-06-08 13:37): Cisco aktualisiert mit einem weiteren Update der Sicherheitsmeldung cisco-sa-20160603-ntpd die Liste der als verwundbar identifizierten Produkte. Zusätzlich zu den bislang genannten werden u.a. die Produkte Cisco Identity Services Engine (ISE), Cisco Application Policy Infrastructure Controller (APIC), Cisco IOS, IOS XE und IOS XR Software, Cisco Nexus 1000V Series Switches, Cisco Nexus 4000 Series Blade Switches, Cisco UCS 6200 Series Fabric Interconnects, Cisco UCS Director, Cisco Digital Media Manager, Cisco TelePresence Conductor und Cisco TelePresence Video Communication Server (VCS) als verwundbar benannt.
Version 5 (2016-06-09 12:53): Cisco aktualisiert mit einem weiteren Update der Sicherheitsmeldung cisco-sa-20160603-ntpd die Liste der als verwundbar identifizierten Produkte. Zusätzlich zu den bislang genannten werden u.a. die Produkte Cisco WebEx Node for MCS, Cisco Application Control Engine (ACE30 / ACE 4710), Cisco Secure Access Control Server (ACS), Cisco Application Networking Manager, Cisco Unified Computing System Central Software, Cisco Nexus 3000 Series Switches, Cisco Emergency Responder, Cisco Unified Communications Manager IM & Presence Service (früher CUPS), Cisco Modular Encoding Platform D9036, Cisco Telepresence SX Series, Cisco TelePresence Server 7010 und MSE 8710, Cisco TelePresence Server on Multiparty Media 310 und 320 sowie Cisco TelePresence Server on Virtual Machine als verwundbar benannt.
Version 6 (2016-06-10 13:44): Cisco aktualisiert mit einem weiteren Update der Sicherheitsmeldung cisco-sa-20160603-ntpd die Liste der als verwundbar identifizierten Produkte. Zusätzlich zu den bislang genannten werden u.a. die Produkte Cisco WebEx Meetings Server Releases 1.x und 2.x, Cisco NAC Appliance - Clean Access Server, Cisco NAC Guest Server, Cisco NAC Server, Cisco Nexus 5000, 6000, 7000 und 9000 Series Switches, Cisco MediaSense, Cisco Unified Communications Manager, Cisco TelePresence Video Communication Server (VCS) sowie Cisco Small Business 121, 321 und 500 Series Wireless Access Points als verwundbar benannt.
Version 7 (2016-06-13 13:09): Cisco aktualisiert mit einem weiteren Update der Sicherheitsmeldung cisco-sa-20160603-ntpd die Liste der als verwundbar identifizierten Produkte. Zusätzlich zu den bislang genannten werden u.a. die Produkte Cisco Policy Suite, Cisco Prime Collaboration Assurance, Cisco Prime Infrastructure, Cisco Prime LAN Management Solution - Solaris, Cisco Virtual Topology System, Cisco MDS 9000 Series Multilayer Switches, Cisco Unity Express, Cisco TelePresence Server on Virtual Machine und Cisco TelePresence Video Communication Server als verwundbar benannt.
Version 8 (2016-06-14 12:17): Für die SUSE Linux Enterprise 12 SP1 Produktvarianten Server und Desktop werden Sicherheitsupdates zur Behebung der NTP-Schwachstellen bereitgestellt.
Version 9 (2016-06-15 15:38): Für openSUSE 13.2 steht zur Behebung der Schwachstellen ein Sicherheitsupdate auf NTP 4.2.8p8 bereit.
Version 10 (2016-06-15 16:49): Cisco aktualisiert mit einem weiteren Update der Sicherheitsmeldung cisco-sa-20160603-ntpd die Liste der als verwundbar identifizierten Produkte. Zusätzlich zu den bislang genannten werden u.a. die Produkte Cisco Nexus 3500 Series Switches und Cisco Unity Connection als verwundbar benannt. Für SUSE Linux Enterprise Server 11 SP4 steht ein Sicherheitsupdate zur Verfügung.
Version 11 (2016-06-17 18:40): Für SUSE OpenStack Cloud 5, SUSE Manager Proxy 2.1, SUSE Manager 2.1 sowie SUSE Linux Enterprise Server 11-SP3-LTSS und 11-SP2-LTSS stehen Sicherheitsupdates bereit.
Version 12 (2016-06-21 11:49): Für openSUSE Leap 42.1 steht ein Sicherheitsupdate für NTP auf die Version 4.2.8p8 bereit.

Betroffene Software

Server
Systemsoftware

Betroffene Plattformen

Hardware
Netzwerk
Cisco
Linux
UNIX

Beschreibung:

Mehrere Schwachstellen in NTP ermöglichen einem entfernten, nicht authentifizierten Angreifer die Durchführung verschiedener Denial-of-Service-Angriffe, durch die die Verfügbarkeit des NTP-Dienstes auch komplett eingeschränkt werden kann.

Zur Behebung der Schwachstellen stehen die Programmversionen NTP 4.2.8p8 (Stable) und 4.3.93 (Development) bereit.