2018-2585: NTP: Eine Schwachstelle ermöglicht u. a. die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2018-12-20 11:45)

Neues Advisory

Version 2 (2019-08-07 17:16)

Für Red Hat Enterprise Linux 7 stehen Sicherheitsupdates für 'ntp' bereit. Die Updates stehen damit unter anderem für die Produktvarianten Red Hat Enterprise Linux for Scientific Computing, Desktop, Server und Workstation in Version 7 zur Verfügung.

Version 3 (2020-01-10 11:18)

Für Ubuntu 16.04 LTS, 14.04 ESM und 12.04 ESM stehen die Pakete 'ntp-1:4.2.8p4', 'ntp-1:4.2.6.p5' und 'ntp-1:4.2.6.p3' als Sicherheitsupdates zur Behebung der Schwachstelle zur Verfügung.

Version 4 (2020-04-15 15:57)

Für Red Hat Enterprise Linux 7.6 Extended Update Support stehen Sicherheitsupdates zur Behebung der Schwachstelle in 'ntp' bereit.

Betroffene Software

Server
Systemsoftware

Betroffene Plattformen

Linux
Oracle

Beschreibung:

Ein lokaler Angreifer kann durch einen langen String, der als Argument für einen IPv4- oder IPv6-Kommandozeilen-Parameter übergeben wird, beliebigen Programmcode ausführen oder seine Privilegien eskalieren. Die Schwachstelle kann aus der Ferne ausgenutzt werden, wenn der Angreifer einen Benutzer einer Anwendung, die auf 'ntpq' oder 'ntpdc' zurückgreift, zur Verarbeitung speziell präparierter Eingangsdaten verleiten kann.

Für Red Hat Enterprise Linux 6 und 6.7 Extended Update Support stehen Sicherheitsupdates zur Behebung der Schwachstelle in 'ntp' bereit. Die Updates stehen damit unter anderem für Red Hat Enterprise Linux Desktop, Server und Workstation 6, für Red Hat Enterprise Linux for Scientific Computing 6 sowie für Red Hat Enterprise Linux Server EUS und EUS Compute Node 6.7 zur Verfügung. Im Changelog des korrespondierenden Sicherheitsupdates für Oracle Linux 6 werden zusätzlich die weniger schwerwiegenden Denial-of-Service (DoS)-Schwachstellen CVE-2013-5211, CVE-2017-6462, CVE-2017-6463 und CVE-2017-6464 erwähnt.

Schwachstellen:

CVE-2018-12327

Schwachstelle in NTP ermöglicht u. a. Ausführen beliebigen Programmcodes

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.