Network Time Protocol（NTP）の複数脆弱性 について
先日Network Time Protocol（NTP）について複数の脆弱性が発表されました。アイビーシーの提供製品に対する影響について調査を実施いたしましたので以下に記載いたします。
■Network Time Protocol（NTP）脆弱性
(CVE-2014-9293、CVE-2014-9294、CVE-2014-9295、CVE-2014-9296)
本脆弱性は、バッファオーバーフローの脆弱性により、ntpdの実行権限で任意のコードが実行される可能性があります。また、ntp-keygenにおける弱いデフォルト鍵および暗号論的に強度が不十分な乱数生成器の使用により、完全性の検証と認証付き暗号スキームに関する情報を取得される可能性があると報告がございます。
○詳細は下記URLを参照ください。
https://jvn.jp/vu/JVNVU96605606/index.html
■対象製品
| System Answer | ISA-LSH、ISA-SH、ISA-RSH、ISA-BSH |
|---|---|
| System Answer G2 Appliance | Light、RAID、Virtual |
| System Answer G2 Software | Enterprise Ware、Datacenter Ware |
■調査結果
| System Answer | ISA-LSH、ISA-SH、ISA-RSH、ISA-BSH |
|---|---|
| System Answer G2 Appliance | Light、RAID、Virtual |
| System Answer G2 Software | Enterprise Ware、Datacenter Ware |
対象バージョンのntpdおよびntp-keygenが導入されておりますが、ntpkeyやautokey認証を使用する設定は入っておりません。
また、ntpqやntpdcからのパケットは受け付けないように設定を行っているため、本脆弱性による影響が無いことを確認いたしました。
■対策
| System Answer G2 Software | Enterprise Ware、Datacenter Ware |
|---|
ディストリビュータが提供する情報をもとに、ntpdを最新バージョンにアップデートしてご利用ください。
| System Answer | ISA-LSH、ISA-SH、ISA-RSH、ISA-BSH |
|---|---|
| System Answer G2 Appliance | Light、RAID、Virtual |
本脆弱性による影響はございませんが、System AnswerおよびSystem Answer G2 Appliance製品の設置先としてFirewall内に設置して頂くことを推奨しております。外部からのUDP/123ポートをブロック頂くことで不要なアクセスを軽減できます。
よりセキュリティを高めてご利用頂くための対策を上記に記載しております。 設定のご確認・変更についてご検討ください。
以上
