CVE-2015-7705

NTP: błąd mechanizmu rate limiting umożliwia atak zdalnym atakującym

CVSS 9.8v3.1pub. 2017-08-07upd. 2026-05-13

Podatność w mechanizmie rate limiting w NTP 4.x pozwala zdalnym atakującym na wywołanie bliżej nieokreślonych skutków poprzez wysłanie dużej liczby spreparowanych żądań. Wysoki wynik CVSS 9.8 wskazuje na potencjalnie poważne konsekwencje dla poufności, integralności i dostępności systemu.

▸ Pokaż oryginał (EN)

The rate limiting feature in NTP 4.x before 4.2.8p4 and 4.3.x before 4.3.77 allows remote attackers to have unspecified impact via a large number of crafted requests.

🤖 Analiza AI

Jak działa

Mechanizm rate limiting w podatnych wersjach NTP nie obsługuje poprawnie dużej liczby spreparowanych żądań sieciowych (CWE-20: niewłaściwa walidacja danych wejściowych). Atakujący niewymagający uwierzytelnienia ani interakcji ze strony użytkownika może wysyłać masowo takie żądania przez sieć, co prowadzi do błędnego działania usługi NTP. Dokładny mechanizm eksploitacji nie został ujawniony w dostępnym opisie.

Skutki

Atakujący może zdalnie spowodować bliżej nieokreślone skutki, które według wektora CVSS obejmują pełną utratę poufności, integralności oraz dostępności systemu (wszystkie trzy komponenty ocenione jako HIGH).

Mitygacja

Należy zaktualizować NTP do wersji 4.2.8p4 lub nowszej (dla gałęzi 4.2.x) albo do wersji 4.3.77 lub nowszej (dla gałęzi 4.3.x). Dla produktów NetApp należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowe łaty dla systemu openSUSE zostały opublikowane w maju 2016 r. zgodnie z listami opensuse-security-announce wskazanymi w referencjach.

Kogo dotyczy

NTP w wersjach 4.x przed 4.2.8p4 oraz 4.3.x przed 4.3.77; produkty NetApp OnCommand Performance Manager i NetApp OnCommand Unified Manager korzystające z podatnych wersji NTP.