...
| HTML-Format |
|---|
<style>
.wiki-content p {text-align:justify;}
.wiki-content {position:relative; left:60px; width:600px;}
</style> |
| Inhalt | ||
|---|---|---|
|
Kurzinfo
Ntp-Server, die diverse Befehle (monlist, peers) erlauben, die nicht für einen NTP Client gebraucht werden, können für DoS-Angriffe missbraucht werden.
Treffsicherheit
Im Prinzip hoch, jedoch wird ein Rate-Limit vom Test nicht erkannt.
Beschreibung
Die Schwachstelle beruht auf folgenden Faktoren:
...
Überprüfen ob der eigene ntp-Server für diese Attacke verwundbar ist, kann man mit folgendem Kommando:
ntpdc -n ntpq -c monlist IP-Adresse
ntpdc -n -c peers rv -p IP-Adresse
Erscheint als Antwort eine Adressliste, ist der ntp-Server für diesen Angriff verwundbar. Der Switch "monlist" dient eigentlich nur zu Monitoring/Statistik- Zwecken. Es werden dabei die Adressen der anfragenden Server zurückgegeben. Daher ist es unbedenklich, wenn die eigene /etc/ntp.conf auf folgendes umgeschrieben wird:
...
Für Teilnehmer, die keinen eigenen ntp (Timeserver) betreiben, bietet das ACOnet den ts1.aco.net und ts2.aco.net an.
Gegenmaßnahmen
Geeignete Gegenmaßnahmen hängen vom Setup der eigenen Infrastruktur und dem gewünschten Einsatzzweck ab.
...
Sehr gute Hilfestellung bei der Ergreifung der individuell besten Maßnahmen finden sie auf ntp.org - ntpd access restrictions.
Cisco
Wir haben vermehrt gesehen das Cisco Router und Switches obwohl sie als ntp Client konfiguriert sind anfällig sind auf die version und peerlist Attacke. Das Bespiel unten illustriert in etwa wie man die Konfiguration ändern muss um ds PRoblem zu beheben.
| Codeblock |
|---|
ip access-list extended NTP-IPv4 permit udp host 131.130.250.250 any eq ntp permit udp host 193.171.23.164 any eq ntp permit udp host 131.130.1.11 any eq ntp permit udp host 131.130.1.12 any eq ntp deny ip any any ipv6 access-list NTP-IPv6 deny ipv6 any any ntp access-group peer NTP-IPv4 jenach IOS version ntp access-group ipv4 peer NTP-IPv4 ntp access-group ipv6 peer NTP-IPv6 |
Links
US-CERT Alert (TA14-013A) NTP Amplification Attacks Using CVE-2013-5211
https://www.us-cert.gov/ncas/alerts/TA14-013A
...
Blog für Cisco
http://blog.ine.com/2008/07/28/ntp-access-control/
Erfahrungen
Derzeit keine vermerkt.