Actu
Vigil@nce - NTP.org : déni de service via un octet nul dans la configuration
juillet 2015 par Vigil@nce
Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/offre
SYNTHÈSE DE LA VULNÉRABILITÉ
Un attaquant peut envoyer un paquet de configuration contenant un
octet nul au serveur de NTP.org, afin de mener un déni de service.
Produits concernés : Meinberg NTP Server, NTP.org, Slackware
Gravité : 1/4
Date création : 08/07/2015
DESCRIPTION DE LA VULNÉRABILITÉ
Le serveur NTP NTP.org peut recevoir sa configuration par le
réseau.
Lorsque cette fonction est activée et que le paquet est
authentifié par la présence d’un mot de passe, les directives de
configuration qu’il contient sont prises en compte. Cependant,
l’analyseur ne gère pas correctement toutes les erreurs de
syntaxe : un octet à 0 dans une directive provoque une erreur
fatale au processus serveur.
Un attaquant peut donc envoyer un paquet de configuration
contenant un octet nul au serveur de NTP.org, afin de mener un
déni de service.
ACCÈS AU BULLETIN VIGIL@NCE COMPLET
