Japan
サイト内の現在位置を表示しています。
「NTPの脆弱性（VU#852879）」に関するご報告
－技術情報
第4版: 2016/02/17
第3版: 2015/12/18
第2版: 2015/05/26
第1版: 2015/02/06
平素より、弊社ネットワーク製品に対し格別のご高配を賜り深謝申し上げます。
以下に、NTP(Network Time Protocol)の脆弱性について報告致します。
1. 出典
US-CERT Vulnerability Note VU#852879
Date: December 19, 2014
Topic: Network Time Protocol (NTP) Project NTP daemon (ntpd) contains multiple vulnerabilities
https://www.kb.cert.org/vuls/id/852879/
JP-CERT
https://jvn.jp/cert/JVNVU96605606/
2. 概要
NTP機能において、複数の脆弱性が報告されました。
3. 影響
本脆弱性には、次の6つの脆弱性が含まれています。
CVE-2014-9293: Insufficient Entropy in Pseudo-Random Number Generator (PRNG)
CVE-2014-9294: Use of Cryptographically Weak Pseudo-Random Number Generator (PRNG)
CVE-2014-9295: Stack Buffer Overflow
CVE-2014-9296: Error Conditions, Return Values, Status Codes
CVE-2014-9297: Improper Check for Unusual or Exceptional Conditions
CVE-2014-9298: Authentication Bypass by Spoofing
それぞれの影響内容につきましては、【出典】を参照いただきますようお願いします。
各脆弱性の影響を受ける弊社製品とバージョン情報を次の表にまとめます。
表中の”-“は非該当です。
なお、対象製品においてもNTP機能を使用していない場合には影響を受けません。
影響を受ける装置と影響バージョン
| No. | 装置シリーズ名 | CVE-2014 -9293 |
CVE-2014 -9294 |
CVE-2014 -9295 |
CVE-2014 -9296 |
CVE-2014 -9297 |
CVE-2014 -9298 |
|---|---|---|---|---|---|---|---|
| 1 | IP8800/S8600 | 全Ver | － | － | － | － | － |
| 2 | IP8800/S6700 | 全Ver | － | Ver 11.9.G より前 | － | － | － |
| 3 | IP8800/S6600 | 全Ver | － | Ver 11.9.G より前 | － | － | － |
| 4 | IP8800/S6300 | 全Ver | － | Ver 11.9.G より前 | － | － | － |
| 5 | IP8800/S4600 | 全Ver | － | － | － | － | － |
| 6 | IP8800/S3800 | 全Ver | － | Ver 11.12 より前 | － | － | － |
| 7 | IP8800/S3650 | 全Ver | － | Ver 11.12 より前 | － | － | － |
| 8 | IP8800/S3640 | 全Ver | － | Ver 11.12 より前 | － | － | － |
| 9 | IP8800/S3640 ER | 全Ver | － | Ver 11.12 より前 | － | － | － |
| 10 | IP8800/S3630 | 全Ver | － | Ver 11.11.B より前 | － | － | － |
| 11 | IP8800/S2500 | － | － | － | － | － | － |
| 12 | IP8800/S2400 | 全Ver | － | Ver 11.7.G より前 | － | － | － |
| 13 | IP8800/S2200 | － | － | － | － | － | － |
| 14 | IP8800/SS1200 | － | － | － | － | － | － |
| 15 | IP8800/S400 | 全Ver | － | Ver 10-10-/R より前 | － | － | － |
| 16 | IP8800/S300 | 全Ver | － | Ver 10-10-/R より前 | － | － | － |
| 17 | IP8800/R8600 | 全Ver | － | Ver 12.2 より前 | － | － | － |
| 18 | IP8800/R400 | 全Ver | － | Ver 10-10-/R より前 | － | － | － |
4. 回避方法
■CVE-2014-9293 / CVE-2014-9295
<IP8800/S400><IP8800/S300><IP8800/R400>
信頼できるネットワーク以外に接続されたインタフェースからのNTPパケット(UDP ポート123)をフィルタで廃棄する運用を推奨いたします。但し、NTPパケットを廃棄対象としたインタフェースに接続された機器とのNTPの運用はできません。また、コンフィグレーションにて以下2つの設定をおこなうことで、CVE-2014-9295の脆弱性を回避できます。
ntp restrict 0.0.0.0 noquery
ntp restrict 127.0.0.1
本設定をおこなっても、NTP機能は継続して運用可能です。
<IP8800/S8600><IP8800/S6700><IP8800/S6600><IP8800/S6300><IP8800/R8600>
信頼できるネットワーク以外に接続されたインタフェースからのNTPパケット(UDP ポート123)をアクセスリストによるフィルタで廃棄する運用を推奨いたします。但し、NTPパケットを廃棄対象としたインタフェースに接続された機器とのNTPの運用はできません。またuRPFによるフィルタリングを実施することにより、攻撃の可能性を低減できます。
<IP8800/S4600><IP8800/S3800><IP8800/S3600><IP8800/S2400>
信頼できるネットワーク以外に接続されたインタフェースからのNTPパケット(UDP ポート123)をアクセスリストによるフィルタで廃棄する運用を推奨いたします。但し、NTPパケットを廃棄対象としたインタフェースに接続された機器とのNTPの運用はできません。
5. 対策
本脆弱性の対策版ソフトウェアを以下の日程でリリース致します。
| No. | 装置シリーズ名 | 対象ソフトウェア 製品略称 |
対策バージョン | 対策版リリース日 |
|---|---|---|---|---|
| 1 | IP8800/S8600 | OS-SE | Ver 12.4.D以降 | リリース済 |
| 2 | IP8800/S6700 | OS-SE | Ver 11.9.L以降 | リリース済 |
| 3 | IP8800/S6600 | OS-SE | Ver 11.9.L以降 | リリース済 |
| 4 | IP8800/S6300 | OS-SE | Ver 11.9.L以降 | リリース済 |
| 5 | IP8800/S4600 | OS-L3CA, OS-L3CL | Ver 11.13以降 | リリース済 |
| 6 | IP8800/S3800 | OS-L3SA, OS-L3SL | Ver 11.14.A以降 | リリース済 |
| 7 | IP8800/S3650 | OS-L3SA, OS-L3SL | Ver 11.14.A以降 | リリース済 |
| 8 | IP8800/S3640 | OS-L3A, OS-L3L | Ver 11.14.A以降 | リリース済 |
| 9 | IP8800/S3640 ER | OS-L3A, OS-L3L | Ver 11.14.A以降 | リリース済 |
| 10 | IP8800/S3630 | OS-L3A, OS-L3L | 無し | － |
| 11 | IP8800/S2500 | 本脆弱性には該当しません | － | － |
| 12 | IP8800/S2400 | OS-L2 | Ver 11.7.L以降 | リリース済 |
| 13 | IP8800/S2200 | 本脆弱性には該当しません | － | － |
| 14 | IP8800/SS1200 | 本脆弱性には該当しません | － | － |
| 15 | IP8800/S400 | OS-SW, OS-SWE | 無し | － |
| 16 | IP8800/S300 | OS-SW, OS-SWE | 無し | － |
| 17 | IP8800/R8600 | OS-RE | Ver 12.4.D以降 | リリース済 |
| 18 | IP8800/R400 | OS-R, OS-RE | 無し | － |
なお、セキュリティ対応に関して正確な情報を提供するよう努力しておりますが、セキュリティ問題に関する情報は変化しており、記載している内容を予告なく変更することがございますので、あらかじめご了承ください。情報ご参照の際には、常に最新の情報をご確認いただくようお願いします。
6. ソフトウェアの入手方法
ソフトウェアの入手やリリース日程につきましては、販売店またはお近くの弊社営業拠点にご相談下さい。
