Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre

SYNTHÈSE DE LA VULNÉRABILITÉ

Un attaquant peut employer monlist de ntp.org, afin de mener un
déni de service distribué.

Produits concernés : FreeBSD, HP-UX, Juniper J-Series, JUNOS,
Meinberg NTP Server, NetBSD, NTP.org

Gravité : 2/4

Date création : 31/12/2013

DESCRIPTION DE LA VULNÉRABILITÉ

Le service ntp.org implémente la commande "monlist", qui permet
d’obtenir la liste de 600 derniers clients qui se sont connectés
au serveur.

Cependant, la taille de la réponse est beaucoup plus grande que la
taille de la requête. De plus, les serveurs NTP publics ne
demandent aucune authentification, et les paquets UDP peuvent être
usurpés.

Un attaquant peut donc employer monlist de ntp.org, afin de mener
un déni de service distribué.

ACCÈS AU BULLETIN VIGIL@NCE COMPLET

http://vigilance.fr/vulnerabilite/ntp-org-deni-de-service-distribue-via-monlist-14004