Szerző: Bodnár Ádám

2014. december 23. 09:16

Rendszergazdák, itt az ideje frissíteni az NTP-t!

A Google biztonsági szakemberei komoly hiányosságokat találtak az interneten használt egyik legrégebbi protokoll, az NTP implementációjában. A sebezhetőséget kihasználó kódok már terjednek, a támadás kivitelezéséhez nem is kell különösebb szakértelem.

Az 1980-as évek közepén létrejött Network Time Protocol feladata az internetre csatlakozó számítógépek óráinak szinkronizálása. és a mai napig széles körben használt az egész világon. A Google két biztonsági kutatója, Neel Mehta és Stephen Roettger azonban a közelmúltban súlyos sebezhetőségekre bukkantak a protokoll implementációjában, amelyek közül az egyik kritikus, lehetővé teszi a támadó számára azonosítás nélkül tetszőleges kód távoli futtatását az ntpd process jogosultságaival.

Az amerikai ICS-CERT (Industrial Control Systems Cyber Emergency Response Team) weboldalán megjelent tájékoztató szerint az NTP-ben található egy veremtúlcsordulásos hiba (stack buffer overflow), amely lehetőséget ad a támadó számára az ntpd jogosultságaival távolról kódot futtatni. Ehhez egy megfelelően preparált adatcsomagot kell az áldozat gépére küldeni. A tájékoztató alapján az összes NTP4-kiadás sebezhető, leszámítva a napokban megjelent 4.2.8-as verziót, amelyben ezt a sebezhetőséget már kijavították.

Miért a Go a legjobban vágyott programozási nyelv? (x)

A HackerRank 2020-as kutatása szerint a legtöbb fejlesztő a Go-t tanulja majd meg legújabb nyelvének - nézzük miért!

Miért a Go a legjobban vágyott programozási nyelv? (x) A HackerRank 2020-as kutatása szerint a legtöbb fejlesztő a Go-t tanulja majd meg legújabb nyelvének - nézzük miért!

A sérülékenységet kihasználó kódok már nyilvánosan elérhetők és a támadáshoz nem szükséges különösebb szakértelem sem, figyelmeztet az ICS-CERT. Az egyetlen védekezés az ilyen jellegű kísérletek ellen az NTP frissítése - az Apple olyan súlyosnak találta a helyzetet, hogy története során először egy soron kívül, automatikus frissítésként települő javítást adott ki az OS X-hez.

Az NTP biztonságával kapcsolatos bejelentésről bővebben itt lehet tájékozódni.

Regisztrálj az ingyenes Cloud-native és DevOps tippek nagyvállatoknak konferenciára, ahol a Red Hat és az Alerant szakértői bemutatják a Kubernetes, OpenShift, microservice architektúrák gyakorlati alkalmazását!

a címlapról

privátháló

2

VPN-nel bővül a Google One

2020. október 30. 11:52

A vaskosabb előfizetésekhez a Google új, ajándék VPN szolgáltatást is hozzácsap.