NVD Vulnerability Detail
Search Exploit, PoC
CVE-2016-7426
Summary

NTP before 4.2.8p9 rate limits responses received from the configured sources when rate limiting for all associations is enabled, which allows remote attackers to cause a denial of service (prevent responses from the sources) by sending responses with a spoofed source address.

Publication Date Jan. 14, 2017, 1:59 a.m.
Registration Date Jan. 26, 2021, 2:17 p.m.
Last Update Nov. 21, 2024, 11:57 a.m.
CVSS3.1 : HIGH
スコア 7.5
Vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 低
攻撃に必要な特権レベル(PR) 不要
利用者の関与(UI) 不要
影響の想定範囲(S) 変更なし
機密性への影響(C) なし
完全性への影響(I) なし
可用性への影響(A) 高
CVSS2.0 : MEDIUM
Score 4.3
Vector AV:N/AC:M/Au:N/C:N/I:N/A:P
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 中
攻撃前の認証要否(Au) 不要
機密性への影響(C) なし
完全性への影響(I) なし
可用性への影響(A) 低
Get all privileges. いいえ
Get user privileges いいえ
Get other privileges いいえ
User operation required いいえ
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:ntp:ntp:4.2.5:p238_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p240_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p210:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p212:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p207:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p244_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p204:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p230:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p237_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p241_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p225:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p248_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p231_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p5:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p220:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p2:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p3:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p232_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p223:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p217:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p216:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p4:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p206:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p219:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p243_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p247_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p236_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p7:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p214:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p239_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p205:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p242_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p228:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p211:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p229:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p246_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p222:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p224:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p250_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p203:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p218:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p209:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p8:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p208:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p234_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p245_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p215:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p249_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p227:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p221:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p235_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p226:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p6:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p213:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.5:p233_rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p3-rc3:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p3-rc2:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p3-rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p2-rc3:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p2-rc2:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p2-rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p1-rc2:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p1-rc1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p1-beta5:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p1-beta4:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p1-beta3:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p1-beta2:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:p1-beta1:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:4.2.8:-:*:*:*:*:*:*
cpe:2.3:a:ntp:ntp:*:*:*:*:*:*:*:* 4.2.6 4.2.8
cpe:2.3:a:ntp:ntp:*:*:*:*:*:*:*:* 4.3.0 4.3.94
Configuration2 or higher or less more than less than
cpe:2.3:o:canonical:ubuntu_linux:12.04:*:*:*:esm:*:*:*
Configuration3 or higher or less more than less than
cpe:2.3:o:redhat:enterprise_linux_desktop:7.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_workstation:7.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server:7.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_desktop:6.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server:6.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_workstation:6.0:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_tus:7.3:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_aus:7.3:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_aus:7.4:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_eus:7.3:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_eus:7.4:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_eus:7.5:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_tus:7.6:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_eus:7.6:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_aus:7.6:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_eus:7.7:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_aus:7.7:*:*:*:*:*:*:*
cpe:2.3:o:redhat:enterprise_linux_server_tus:7.7:*:*:*:*:*:*:*
Configuration4 or higher or less more than less than
cpe:2.3:a:hpe:hpux-ntp:*:*:*:*:*:*:*:* b.11.31 c.4.2.8.2.0
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
NTP におけるサービス運用妨害 (DoS) の脆弱性
Title NTP におけるサービス運用妨害 (DoS) の脆弱性
Summary

NTP は、すべてのアソシエーションのレート制限が有効になっている場合、設定されたソースから受信したレスポンスを制限するため、サービス運用妨害 (ソースからのレスポンスの制限) 状態にされる脆弱性が存在します。

Possible impacts リモートの攻撃者により、偽造されたソースアドレスを伴うレスポンスを送信されることで、サービス運用妨害 (ソースからのレスポンスの制限) 状態にされる可能性があります。
Solution

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date Nov. 21, 2016, midnight
Registration Date Jan. 26, 2017, 11:43 a.m.
Last Update Jan. 26, 2017, 11:43 a.m.
Affected System
NTP Project
NTP 4.2.8p9 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
0 [2017年01月26日]
  掲載		 Feb. 17, 2018, 10:37 a.m.