GLSA 200904-05: ntp: Certificate validation error

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	ntp: Certificate validation error
Дата:	05.04.2009
Ошибки:	#254098
ID:	200904-05

Сводка

An error in the OpenSSL certificate chain validation in ntp might allow for spoofing attacks.

Назначение

ntp contains the client and daemon implementations for the Network Time Protocol.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
net-misc/ntp	< 4.2.4_p6	>= 4.2.4_p6	All supported architectures

Описание

It has been reported that ntp incorrectly checks the return value of the EVP_VerifyFinal(), a vulnerability related to CVE-2008-5077 (GLSA 200902-02).

Воздействие

A remote attacker could exploit this vulnerability to spoof arbitrary names to conduct Man-In-The-Middle attacks and intercept sensitive information.

Обход

There is no known workaround at this time.

Решение

All ntp users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=net-misc/ntp-4.2.4_p6"

Ссылки

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200904-05.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.