CVE oznaka: CVE-2013-5211

Povzetek

NTP strežniki, ki odgovarjajo na zahteve vrste ‘monlist‘ lahko sodelujejo v porazdeljenih napadih onemogočanja (angl. distributed denial-of-service, DDoS). Skrbnikom priporočamo nadgradnjo na različico 4.2.7, ali uporabo ‘noquery‘ določila v konfiguraciji.

Opis

V napadu z odbojem (imenovanem tudi napad z ojačanjem) storilec pošlje vprašanje s potvorjenim izvornim naslovom večjemu številu strežnikov. Ti odgovorijo na podtaknjeni naslov in tako žrtev zasujejo z odgovori. Napad je učinkovit, če so odgovori zadosti večji od vprašanja (pride do zadostnega “ojačanja”) in če v napadu sodeluje zadostno število strežnikov. V napadih se izrabljajo legitimne storitve, ki uporabljajo protokol UDP. Najbolj pogosto se izrablja storitev DNS (oglejte si opis teh napadov v prispevku “Vrnitev odpisanih“).

NTP protokol je namenjen sinhronizaciji računalniških ur preko interneta. Uporablja UDP protokol in komunikacijska vrata 123. NTP strežniki lahko podpirajo tudi poizvedbo ‘monlist‘, ki vrne poročilo o IP naslovih zadnjih poizvedb (do 600 zapisov). To pomeni zadostno ojačitev, da se lahko izrablja za napade onemogočanja. Ti so se pričeli decembra 2013.

Rešitev

Če upravljate z NTP strežnikom, preverite, ali se lahko izrablja v napadih z ukazom:

ntpdc -n -c monlist strežnik

Strežnik nadgradite na različico 4.2.7. Če nadgradnja ni mogoča, v konfiguracijo dodajte določilo ‘noquery‘, ki onemogoči ntpdc in ntpq poizvedbe, pri čemer sama storitev ni motena. Primer konfiguracije ntpd na Linux/Unix sistemih:

# omejitve za vse poizvedbe
restrict -4 default nomodify nopeer noquery notrap
restrict -6 default nomodify nopeer noquery notrap
# dovolimo poizvedbe lokalno
restrict 127.0.0.1
restrict ::1
# strežniki, s katerimi se sinhroniziramo
server ntp1.arnes.si
server 193.2.4.6

Za več informacij glede namestitev na drugih operacijskih sistemih si oglejte Team Cymru Secure NTP Template dokument.