UPDATE: DFN-CERT-2017-0506 NTP: Mehrere Schwachstellen ermöglichen u.a. die Ausführung beliebigen Programmcodes mit den Rechten des Dienstes [Linux][Fedora][SuSE][Unix][FreeBSD][Windows]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 4 (19.04.2017):
SUSE stellt für die SUSE Linux Enterprise Produkte Debuginfo 11 SP4,
Server 11 SP4, 12 LTSS, 12 SP1, 12 SP2, Server for SAP 12, Server for
Raspberry Pi 12 SP2 sowie Desktop 12 SP1 und 12 SP2 Sicherheitsupdates auf
die NTP Version 4.2.8p10 zur Behebung der Schwachstellen CVE-2016-9042,
CVE-2017-6451, CVE-2017-6458, CVE-2017-6460, CVE-2017-6462, CVE-2017-6463
und CVE-2017-6464 bereit.
Version 3 (12.04.2017):
FreeBSD stellt Sicherheitsupdates für die Versionen 11.0-STABLE und
10.3-STABLE sowie in Form der Releases 11.0-RELEASE-p9 und
10.3-RELEASE-p18 bereit und adressiert damit die Schwachstellen
CVE-2017-6464, CVE-2017-6462, CVE-2017-6463 und CVE-2016-9042.
Version 2 (27.03.2017):
Für Fedora 24, 25 und 26 stehen Sicherheitsupdates in Form der Pakete
‘ntp-4.2.6p5-44.fc24’, ‘ntp-4.2.6p5-44.fc25’ und ‘ntp-4.2.8p10-1.fc26’ im
Status ‘testing’ bereit. Die Sicherheitsupdates für Fedora 24 und 25
adressieren die Schwachstellen CVE-2017-6451, CVE-2017-6458,
CVE-2017-6462, CVE-2017-6463 und CVE-2017-6464. Im Sicherheitsupdate für
Fedora 26 werden zusätzlich zu diesen Schwachstellen CVE-2017-6460 und
CVE-2016-9042 adressiert.
Version 1 (23.03.2017):
Neues Advisory

Betroffene Software:

NTP < 4.2.8p10 NTP >= 4.3.0
NTP <= 4.3.93 Betroffene Plattformen: SUSE Linux Enterprise Debuginfo 11 SP4 FreeBSD < 10.3-RELEASE-p18 FreeBSD 10.3-STABLE FreeBSD < 11.0-RELEASE-p9 FreeBSD 11.0-STABLE GNU/Linux Microsoft Windows SUSE Linux Enterprise Desktop 12 SP1 SUSE Linux Enterprise Desktop 12 SP2 SUSE Linux Enterprise Server 11 SP4 SUSE Linux Enterprise Server 12 LTSS SUSE Linux Enterprise Server for SAP 12 SUSE Linux Enterprise Server 12 SP1 SUSE Linux Enterprise Server 12 SP2 SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi Red Hat Fedora 24 Red Hat Fedora 25 Red Hat Fedora 26 Mehrere Schwachstellen in NTP ermöglichen einem entfernten, auch nicht authentisierten Angreifer die Durchführung verschiedener Denial-of-Service (DoS)-Angriffe. Weitere Schwachstellen ermöglichen einem lokalen, einfach authentisierten Angreifer zudem die Ausführung beliebigen Programmcodes mit Rechten des Dienstes sowie einen weiteren Denial-of-Service-Angriff. Zudem werden mehrere weitere Fehler in NTP behoben, die aber jeweils mit einem Base Score von 0.0 angegeben werden. Die Schwachstellen CVE-2017-6452, CVE-2017-6455 und CVE-2017-6459 betreffen nur Windows-Betriebssysteme. Das NTP-Projekt von NTF hat die Versionen ntp-4.2.8p10 als Sicherheitsupdate zur Behebung der Schwachstellen veröffentlicht. Patch: NTP Software Downloads http://www.ntp.org/downloads.html

Patch:

Fedora Security Update FEDORA-2017-20d54b2782 (Fedora 26, ntp-4.2.8p10-1)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-20d54b2782

Patch:

Fedora Security Update FEDORA-2017-5ebac1c112 (Fedora 25, ntp-4.2.6p5-44)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-5ebac1c112

Patch:

Fedora Security Update FEDORA-2017-72323a442f (Fedora 24, ntp-4.2.6p5-44)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-72323a442f

Patch:

FreeBSD Security Advisory FreeBSD-SA-17:03.ntp

http://www.freebsd.org/security/advisories/FreeBSD-SA-17%3A03.ntp.asc

Patch:

SUSE Security Update SUSE-SU-2017:1047-1

http://lists.suse.com/pipermail/sle-security-updates/2017-April/002811.html

Patch:

SUSE Security Update SUSE-SU-2017:1048-1

http://lists.suse.com/pipermail/sle-security-updates/2017-April/002812.html

Patch:

SUSE Security Update SUSE-SU-2017:1052-1

http://lists.suse.com/pipermail/sle-security-updates/2017-April/002813.html

CVE-2017-6464: Schwachstelle in NTP ermöglicht Denial-of-Service-Angriff

Eine nicht näher beschriebene Schwachstelle NTP ermöglicht es einem
entfernten, mehrfach authentifizierten Angreifer ntpd über eine fehlerhafte
‘mode’-Konfigurationsrichtlinie abstürzen zu lassen (Denial-of-Service,
DoS).

CVE-2017-6463: Schwachstelle in NTP ermöglicht Denial-of-Service-Angriff

Aufgrund unzureichender Validierung von Eingaben, die für Einstellungen über
die ‘:config’-Richtlinie vorgenommen werden, besteht eine Schwachstelle in
NTP. Sendet ein Angreifer für die ‘unpeer’-Option als Argument eine ‘0’
anstelle einer Zahl beziehungsweise Adresse, tritt eine
Speicherschutzverletzung auf und die Anwendung stürzt ab. Ein entfernter,
mehrfach authentisierter Angreifer kann einen Denial-of-Service-Angriff
durchführen.

CVE-2017-6462: Schwachstelle in NTP ermöglicht Denial-of-Service-Angriff

Im veralteten (legacy) ‘Datum Programmable Time Server Refclock’-Treiber in
NTP besteht eine potentielle Pufferspeicher-Überlauf-Schwachstelle. Ein
lokaler, einfach authentisierter Angreifer kann die Schwachstelle über ein
von ihm kontrolliertes ‘/dev/datum’-Gerät ausnutzen und einen
Denial-of-Service-Angriff durchführen.

CVE-2017-6460: Schwachstelle in NTP ermöglicht Denial-of-Service-Angriff

In der ‘reslist’-Funktion in ntpq besteht eine Schwachstelle aufgrund einer
fehlenden Längenprüfung. Diese ermöglicht es einem entfernten, einfach
authentisierten Angreifer über einen bösartig präparierten ntpq-Server eine
Beschränkungslisten (Restriction List)-Anfrage mit einer präparierten
Nachricht zu beantworten, die einen Überlauf des Stack-basierten
Pufferspeichers verursacht und die Anwendung zum Absturz bringt
(Denial-of-Service).

CVE-2017-6459: Schwachstelle in NTP ermöglicht Denial-of-Service-Angriff

Der Windows Installer für NTP ruft die Funktion ‘strcpy()’ mit einem
Argument auf, in dem mehrere spezifische NULL-Bytes enthalten sind. Da die
Funktion ‘strcpy()’ bei Auftreten des ersten NULL-Byte das Ende der
Zeichenkette erwartet, wird die Verarbeitung des Argumentes an dieser Stelle
beendet und nur ein Teil in den Ziel-Pufferspeicher kopiert. Infolgedessen
wird die weitere Verarbeitung fehlerhaft fortgeführt, was einen Absturz der
Anwendung zur Folge haben kann. Ein lokaler, einfach authentisierter
Angreifer kann einen Denial-of-Service-Angriff durchführen.

CVE-2017-6458: Schwachstelle in NTP ermöglicht Denial-of-Service-Angriff

Aufgrund der unzureichenden Längenprüfung erstellter
‘name/value’-Zeichenketten für ‘ntpq’-Antworten besteht eine Schwachstelle
in NTP, die es ermöglicht einen Pufferspeicher-Überlauf zu provozieren und
die Anwendung zum Absturz zu bringen. Ein entfernter, mehrfach
authentifizierter Angreifer kann einen Denial-of-Service-Angriff
durchführen.

CVE-2017-6455: Schwachstelle in NTP ermöglicht Ausführung beliebigen
Programmcodes mit Rechten des Dienstes

Der Windows NT Port in NTP hat zusätzlich die Fähigkeit die in der global
vererbten lokalen Umgebungsvariable ‘PPSAPI_DLLS’ definierten Dynamic Link
Libraries (DLL) zu laden. Der darin befindliche Programmcode wird durch den
NTPD-Dienst aufgerufen und mit privilegierten Berechtigungen ausgeführt. Ein
lokaler, einfach authentifizierter Angreifer kann diese Schwachstelle
ausnutzen und durch die Bereitstellung einer präparierten DLL-Datei
beliebigen Programmcode injizieren und zur Ausführung bringen.

CVE-2017-6452: Schwachstelle in NTP ermöglicht Denial-of-Service-Angriff

Der Windows Installer für NTP ruft in der Funktion ‘addSourceToRegistry()’,
ohne jegliche Überprüfung der Parameter, die Funktion ‘strcat()’ zum
Verbinden von Zeichenketten auf und speichert die daraus resultierende
Zeichenkette auf dem Stack ab. Da der Stack-basierte Pufferspeicher
allerdings 70 Byte weniger Speicher zur Verfügung hat, als der
Pufferspeicher der Hauptroutine (‘main()’), besteht die Möglichkeit den
Stack-basierten Pufferspeicher zum Überlauf zu bringen. Der weitergereichte
Anwendungspfad ist zwar auf 256 Byte begrenzt, jedoch ist dies nicht
ausreichend, um den Stack konsequent gegen Speicherüberläufe zu schützen.
Ein lokaler, einfach authentisierter Angreifer kann einen
Denial-of-Service-Angriff durchführen.

CVE-2017-6451: Schwachstelle in NTP ermöglicht Denial-of-Service-Angriff

Aufgrund des falschen Umgangs mit Rückgabewerten der Funktionen ‘snprintf()’
und ‘vsnprintf()’ besteht eine Schwachstelle in der ‘Legacy MX4200
Refclock’-Implementierung in NTP. Diese ermöglicht es, da der Rückgabewert
auch als Iterator für Speicherzugriffe verwendet wird, schreibend auf
Speicherbereiche außerhalb des allozierten Pufferspeichers zuzugreifen,
wodurch gespeicherte Instruktionszeiger überschrieben werden können. Dies
ermöglicht es einem lokalen, mehrfach authentifizierten Angreifer die
Ausführungsreihenfolge zu kontrollieren oder die Programmausführung zu
unterbrechen (Denial-of-Service, DoS). Der ‘Legacy MX4200 Refclock’-Treiber
ist standardmäßig deaktiviert und kann auch nur mit zusätzlichen
Programmcodeanpassungen kompiliert und verwendet werden.

CVE-2016-9042: Schwachstelle in NTP ermöglicht Denial-of-Service-Angriff

In der Funktion zur Überprüfung des Ursprungs-Zeitstempels (Origin
Timestamp) in NTP Version 4.2.8p9 besteht eine nicht näher beschriebene
Schwachstelle. Diese ermöglicht es einem entfernten, nicht authentisierten
Angreifer mit Hilfe eines präparierten Datenpaketes die Überprüfung für
Ziel-Knoten (Peers) fehlschlagen zu lassen, worauf die Kommunikation
abgebrochen wird und ein Denial-of-Service (DoS)-Zustand eintritt. Die
Schwachstelle kann nur dann ausgenutzt werden, wenn ein Angreifer in der
Lage ist sämtliche Server vorzutäuschen (Spoofing).

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0506/

NTP Software Downloads:
http://www.ntp.org/downloads.html

NTP Security Vulnerability Announcement March 2017 ntp-4.2.8p10 :
http://support.ntp.org/bin/view/Main/SecurityNotice#March_2017_ntp_4_2_8p10_NTP_Secu

Schwachstelle CVE-2016-9042 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-9042

Schwachstelle CVE-2017-6451 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6451

Schwachstelle CVE-2017-6452 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6452

Schwachstelle CVE-2017-6455 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6455

Schwachstelle CVE-2017-6458 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6458

Schwachstelle CVE-2017-6459 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6459

Schwachstelle CVE-2017-6460 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6460

Schwachstelle CVE-2017-6462 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6462

Schwachstelle CVE-2017-6463 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6463

Schwachstelle CVE-2017-6464 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-6464

Fedora Security Update FEDORA-2017-20d54b2782 (Fedora 26, ntp-4.2.8p10-1):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-20d54b2782

Fedora Security Update FEDORA-2017-5ebac1c112 (Fedora 25, ntp-4.2.6p5-44):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-5ebac1c112

Fedora Security Update FEDORA-2017-72323a442f (Fedora 24, ntp-4.2.6p5-44):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-72323a442f

FreeBSD Security Advisory FreeBSD-SA-17:03.ntp:
http://www.freebsd.org/security/advisories/FreeBSD-SA-17%3A03.ntp.asc

SUSE Security Update SUSE-SU-2017:1047-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-April/002811.html

SUSE Security Update SUSE-SU-2017:1048-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-April/002812.html

SUSE Security Update SUSE-SU-2017:1052-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-April/002813.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.