独立行政法人 情報処理推進機構セキュリティセンター（IPA/ISEC）および有限責任中間法人 JPCERT コーディネーションセンター（JPCERT/CC）は5月19日、時計同期プロトコル「NTP」を実装した「ntpd（NTP daemon）」にバッファオーバーフローの脆弱性が存在すると公表した。
今回確認された脆弱性の影響を受けるのは、NTP 4.2.4p7未満、およびNTP 4.2.5p177未満。OpenSSLサポート付きでコンパイルした場合に脆弱性が存在する。ntp/ntp.crypto.cに含まれるcrypto_recv() 関数内にあるsprintf() の使用に起因しており、autokeyが有効な場合にのみ影響を受ける。
この脆弱性が悪用されると、遠隔の第三者によって、NTP daemonが持つ権限で任意のコードを実行される可能性がある。ntpdは、この脆弱性を解消する新バージョンが公開されている。また、設定ファイル（ntp.conf）に含まれている"crypto"ではじまる設定をすべて削除することでautokeyを無効化し、この脆弱性の影響を軽減できる。
JVNではこの脆弱性について、以下のように分析している。
- 攻撃経路：インターネット経由からの攻撃が可能（高）
- 認証レベル：匿名もしくは認証なしで攻撃が可能（高）
- 攻撃成立に必要なユーザーの関与：ユーザーが何もしなくても攻撃される可能性がある（高）
- 攻撃の難易度：ある程度の専門的知識や運が必要（中〜高）
