网络时间协议软件有漏洞，NTP发布更新

NTP.org于本周三（10/21）发布最新的 ntp-4.2.8p4 版本，以解决 13 个严重程度不等的安全漏洞，以及修补 100 余 Bug，顺道呼吁用户尽快检查 NTP 程序是否被用来进行分布式拒绝服务攻击（DoS）。

NTP为网络时间协议（Network Time Protocol）的缩写，为一个可由分组交换以使各计算机系统之时间同步的网络协议。 基于该协议的Network Time Protocol daemon（NPTD）则是一个可在操作系统后台执行的时间同步程序，广泛被应用在全球网络、嵌入式装置、桌面与服务器系统上，包含Mac OS X、各大Linux版本与各种BSD。

在 NTP.org 所修补的 13 个安全漏洞中，有 8 个来自思科安全情报研究团队 Talos 的贡献，其中 CVE-2015-7871 安全漏洞让黑客得以强迫NPTD 链接恶意时间来源，以任意更改系统时间。

黑客主要利用 NPTD 处理特定加密 NAK 封包时的演算错误以展开攻击，当含有漏洞的N PTD 收到一个 NTP 对称主动加密的 NAK 封包时，它就会与发送端产生链接，而绕过在建立链接时所需的认证程序。

还有一个漏洞是来自于波士顿大学多位研究人员的贡献，该编号为 CVE-2015-7704 的漏洞与 NTP 的 Kiss O’ Death（KoD）机制有关。 KoD 可用来限制请求频率，因此，服务器可以在拒绝提供服务或是客户端请求同步频率过高时送出 KoD 封包，然后停止进行同步。

研究人员指出，黑客可以打造一个伪装成来自时间同步服务器的 KoD 封包，并将它传送到与服务器链接的装置上，之后，设备便不会再向服务器请求同步，而无法再更新时间，并形成拒绝服务攻击。

系统上的时间错误可能带来许多安全隐忧，像是可能接受过期凭证，或是让许多必须检验时间的交互无法进行等。

至于 NTP.org 所担心的分布式拒绝服务攻击（DDoS）并没有出现在此次的补丁列表中，之所以特别强调应是因为 NTP 已成为黑客执行DDoS 攻击的跳板，黑客只要以特定的 IP 传送请求至全球 NTP 服务器上，就可能造成该 IP 的服务罢工。

via ithome