In dem Zeit-Server-Dienst NTP haben Googles Security-Spezialisten Neel Mehta und Stephen Roettger einige Sicherheitslücken entdeckt und an dessen Entwickler gemeldet. Daraufhin veröffentlichten die Entwickler die Version 4.2.8, in der zumindest die kritischen Lücken gefixt sind.

Mit dem NTP-Dienst können die weit verbreiteten Zeit-Server die Systemzeit über das Netz synchronisieren. Es wird geraten, dass Admins dieses Update unbedingt noch vor Weihnachten installieren oder ihre Zeit-Server anderweitig abschotten sollten, da Angriffe auf die Lücken einfach sind und wohl sehr bald beginnen werden. Entsprechende Warnungen wurden bereits vom US-CERT und vom ICS-CERT, das für Industrieanlagen zuständig ist, veröffentlicht.

Pufferüberläufe sind die zwei kritischsten Sicherheitsprobleme des aktuellen Zeit-Servers NTP, welche sich durch passend erstellte NTP-Pakete so ausnutzen lassen, mit denen Angreifer Code mit den Rechten des Zeit-Dienstes auf dem System ausführen können. Vier weitere, weniger kritische Sicherheitsprobleme, darunter mehrere Stellen, an denen zu schwache Schlüssel zum Einsatz kamen, beseitigt das Update zudem. Die Entwickler wollen in den nächsten Monaten zwei weitere, kleinere Probleme beseitigen.

Admins sollten sicherstellen, dass über die Feiertage zumindest keine verwundbaren NTP-Server übers Internet erreichbar sind. Auf den Projekt-Seiten steht die neue Version NTP 4.2.8 zum Download bereit. Linux-Distributoren arbeiten bereits daran, aktualisierte Pakete zu erstellen. Noch ist nicht klar, ob Mac OS X, das ebenfalls einen standardmäßig aktiven NTP-Service enthält, auch betroffen ist. Tipps für diejeningen, die einen NTP-Dienst unter Windows aufgesetzt haben, gibt es in der Usenet-Gruppe des Projekts.

Zu den NTP-Lücken hat Red Hat bereits aktualisierte Pakete und ein Security-Advisory bereitgestellt. Die besonders kritischen Remote-Code-Execution-Lücken lassen sich laut Angaben der Red-Hat-Maintainer in der Default-Konfiguration nicht ausnutzen.

(ts, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE