AX-VU2016-03「NTPの脆弱性（VU#718152、VU#321640）」に関するご報告

AX第1版 2016-10-31
AX第2版 2017-7-31
アラクサラネットワークス株式会社

平素より、弊社ネットワーク製品に対し格別のご高配を賜り深謝申し上げます。
以下に、NTP(Network Time Protocol)の脆弱性について報告致します。

出典

US-CERT Vulnerability Note VU# 718152
Topic: NTP.org ntpd contains multiple vulnerabilities

• http://www.kb.cert.org/vuls/id/718152/

US-CERT Vulnerability Note VU#321640
Topic: NTP.org ntpd is vulnerable to denial of service and other vulnerabilities

• http://www.kb.cert.org/vuls/id/321640/

JP-CERT

• http://jvn.jp/vu/JVNVU91176422/
• http://jvn.jp/vu/JVNVU94410990/

概要

NTP機能において、複数の脆弱性（VU#718152およびVU#321640）が報告されました。
本報告には、以下の脆弱性が含まれています。

VU#718152

CVE-2015-7973: Authentication Bypass by Capture-replay
CVE-2015-7974: Improper Input Validation
CVE-2015-7975: Improper Input Validation
CVE-2015-7976: Improper Input Validation
CVE-2015-7977: NULL Pointer Dereference
CVE-2015-7978: Uncontrolled Resource Consumption ('Resource Exhaustion')
CVE-2015-7979: Incorrect Synchronization
CVE-2015-8138: Improper Input Validation
CVE-2015-8139: Information Exposure
CVE-2015-8140: Authentication Bypass by Capture-replay
CVE-2015-8158: Uncontrolled Resource Consumption ('Resource Exhaustion')
CVE-2016-1547: Incorrect Synchronization
CVE-2016-1548: Authentication Bypass by Spoofing
CVE-2016-1549: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition')
CVE-2016-1550: Improper Input Validation
CVE-2016-1551: Authentication Bypass by Spoofing
CVE-2016-2516, CVE-2016-2517: Improper Input Validation
CVE-2016-2518: Out-of-bounds Read
CVE-2016-2519: Improper Restriction of Operations within the Bounds of a Memory Buffer
CVE-2015-7704, CVE-2015-7705: Improper Input Validation

VU#321640

CVE-2016-4957: CRYPTO-NAK denial of service introduced in Sec 3007 patch.
CVE-2016-4953: Bad authentication demobilizes ephemeral associations.
CVE-2016-4954: Processing of spoofed server packets affects peer variables.
CVE-2016-4955: Autokey associations may be reset when repeatedly receiving spoofed packets.
CVE-2016-4956: Broadcast associations are not covered in Sec 2978 patch.

影響

報告された脆弱性の内、次の項目で製品が影響を受ける可能性があります。

『VU#718152』で報告されているCVE-2015-7973，CVE-2015-7979， CVE-2016-1550
『VU#321640』で報告されているCVE-2016-4953，CVE-2016-4954

影響による事象は、不正なパケット受信契機でピア切断等が発生することが考えられます。
それぞれの影響内容の詳細につきましては、【出典】を参照いただきますようお願いします。

各脆弱性の影響を受ける弊社製品とバージョン情報を次の表にまとめます。
表中の”-“は非該当です。
なお、対象製品においてもNTP機能を使用していない場合には影響を受けません。

回避方法

次の方法で、影響を受ける可能性を低減できます。

<AX7800S> <AX5400S> <AX7800R> <AX7700R> <AX2000R>

信頼できるネットワーク以外に接続されたインタフェースからのNTPパケット(UDP ポート123)をフィルタで廃棄する運用を推奨いたします。
但し、NTPパケットを廃棄対象としたインタフェースに接続された機器とのNTPの運用はできません。

<AX8600S> <AX8300S> <AX6700S> <AX6600S> <AX6300S> <AX8600R>

信頼できるネットワーク以外に接続されたインタフェースからのNTPパケット(UDP ポート123)をアクセスリストによるフィルタで廃棄する運用を推奨いたします。但し、NTPパケットを廃棄対象としたインタフェースに接続された機器とのNTPの運用はできません。
またuRPFによるフィルタリングを実施することにより、攻撃の可能性を低減できます。

<AX4600S> <AX3800S> <AX3600S> <AX2400S>

信頼できるネットワーク以外に接続されたインタフェースからのNTPパケット(UDP ポート123)をアクセスリストによるフィルタで廃棄する運用を推奨いたします。
但し、NTPパケットを廃棄対象としたインタフェースに接続された機器とのNTPの運用はできません。

対策

本脆弱性の対策版ソフトウェアを以下の日程でリリース致します。

*1

AX3630Sにおいては、対策版ソフトウェアのリリース予定はございません。回避方法による対応を推奨いたします。また、AX3660Sは本脆弱性には該当しません。

なお、セキュリティ対応に関して正確な情報を提供するよう努力しておりますが、セキュリティ問題に関する情報は変化しており、記載している内容を予告なく変更することがございますので、あらかじめご了承ください。情報ご参照の際には、常に最新の情報をご確認いただくようお願いします。

ソフトウェアの入手方法

ソフトウェアの入手につきましては、ご購入元にご確認ください。

• ページの先頭へ