編集部からのお知らせ
解説集:台頭するロボット市場のいま
解説集:データ活用で考えるデータの選び方

時計同期の「ntpd」にバッファオーバーフローの脆弱性

吉澤亨史

2009-05-22 15:26

 独立行政法人 情報処理推進機構セキュリティセンター(IPA/ISEC)および有限責任中間法人 JPCERT コーディネーションセンター(JPCERT/CC)は5月19日、時計同期プロトコル「NTP」を実装した「ntpd(NTP daemon)」にバッファオーバーフローの脆弱性が存在すると公表した。

 今回確認された脆弱性の影響を受けるのは、NTP 4.2.4p7未満、およびNTP 4.2.5p177未満。OpenSSLサポート付きでコンパイルした場合に脆弱性が存在する。ntp/ntp.crypto.cに含まれるcrypto_recv() 関数内にあるsprintf() の使用に起因しており、autokeyが有効な場合にのみ影響を受ける。

 この脆弱性が悪用されると、遠隔の第三者によって、NTP daemonが持つ権限で任意のコードを実行される可能性がある。ntpdは、この脆弱性を解消する新バージョンが公開されている。また、設定ファイル(ntp.conf)に含まれている"crypto"ではじまる設定をすべて削除することでautokeyを無効化し、この脆弱性の影響を軽減できる。

 JVNではこの脆弱性について、以下のように分析している。

  • 攻撃経路:インターネット経由からの攻撃が可能(高)
  • 認証レベル:匿名もしくは認証なしで攻撃が可能(高)
  • 攻撃成立に必要なユーザーの関与:ユーザーが何もしなくても攻撃される可能性がある(高)
  • 攻撃の難易度:ある程度の専門的知識や運が必要(中〜高)

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

Special PR

特集

CIO

セキュリティ

スペシャル

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]