BDU:2021-01809 (CVE-2020-14367)

Уязвимость демона chronyd реализации протокола сетевого времени Network Time Protocol (NTP) Chrony, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2021-04-06

Описание

Уязвимость демона chronyd реализации протокола сетевого времени Network Time Protocol (NTP) Chrony связана с неверным определением ссылки перед доступом к файлу в директории /var/run/chrony. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью специально созданного файла формата PID

Затрагиваемое ПО и версии

Ubuntu (18.04 LTS)РЕД ОС (7.2 Муром)Fedora (32)Ubuntu (20.04 LTS)Chrony (до 3.5.1)Альт 8 СПОСОН ОСнова Оnyx (до 2.5)

Способ устранения

Использование рекомендаций:
Для Chrony:
https://git.tuxfamily.org/chrony/chrony.git/commit/util.c?id=7a4c396bba8f92a3ee8018620983529152050c74
https://git.tuxfamily.org/chrony/chrony.git/commit/main.c?id=e18903a6b56341481a2e08469c0602010bf7bfe3

Для Ubuntu:
https://usn.ubuntu.com/4475-1/

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/6WKABKNLCSC3MACCWU6OM2YGWVWFWFMU/

Для ОСОН ОСнова Оnyx:Обновление программного обеспечения chrony до версии 3.4-4+deb10u2

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Оценка CVSS

Балл	6.2 — средняя опасность

Источники и патчи

https://nvd.nist.gov/vuln/detail/CVE-2020-14367 https://bugzilla.redhat.com/show_bug.cgi?id=1870298 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/6WKABKNLCSC3MACCWU6OM2YGWVWFWFMU/https://security.gentoo.org/glsa/202008-23 https://usn.ubuntu.com/4475-1/https://git.tuxfamily.org/chrony/chrony.git/commit/util.c?id=7a4c396bba8f92a3ee8018620983529152050c74 https://git.tuxfamily.org/chrony/chrony.git/commit/main.c?id=e18903a6b56341481a2e08469c0602010bf7bfe3 https://www.cybersecurity-help.cz/vdb/SB2020083109

Проверьте безопасность своего сайта и почты → Полная проверка домена