Meinberg Security Advisory: [MBGSA-1602] NTP und OpenSSL

Das Public NTP Services Project (www.ntp.org) hat bekanntgegeben, dass die aktuelle Version der Referenzimplementierung von NTP eine Reihe von Sicherheitsschwachstellen enthält, die NTP 4.x Versionen bis 4.2.8p6 betrifft. Die neue LANTIME Firmware Version 6.18.016 enthält daher die gerade veröffentliche Version 4.2.8p7.

Das OpenSSL Projekt hat ebenfalls bekanntgegeben, dass es sicherheitsrelevante Probleme in der OpenSSL Version 1.0.2f gibt. Die Firmware Version 6.18.016 enthält daher auch die neueste stabile OpenSSL Version 1.0.2g, um diese Probleme zu beheben.

CVE-IDs:

NTP: siehe Network Time Foundation Announcement for ntp-4.2.8p7

OPENSSL: siehe OpenSSL Security Announcement

1. Beschreibung des Problems

Die NTP Version 4.2.8, die in allen LANTIME Firmware Versionen enthalten ist, ist theoretisch von einer Reihe von Sicherheitslücken/-schwachstellen betroffen.

Die Network Time Foundation hat ein Update veröffentlicht, das diese gefundenen Schwachstellen beseitigt. Die NTP Version 4.2.8p7 steht ab sofort zur Verfügung. Als Mitglied des NTP Consortium der Network Time Foundation hat Meinberg bereits vor der Veröffentlichung dieser Version Zugriff darauf erhalten und kann daher zeitnah ein Update der LANTIME Firmware zur Verfügung stellen. Die ab sofort erhältliche LANTIME Firmware Version 6.18.016 verwendet aus diesem Grund bereits die angesprochene NTP Version 4.2.8p7 und ist für Meinbergs LANTIME und SyncFire Produkte verfügbar.

2. Betroffene Systeme

Alle LANTIME Firmware Versionen vor V6.18.016 sind theoretisch betroffen.

3. Mögliche Verteidigungsstrategien

Meinberg Produkte

Die Sicherheitspatches für NTP sind in der Firmware Version 6.18.016 enthalten, die für Meinberg Kunden ab sofort erhältlich ist.

Meinberg LANTIME Firmware Updates

Für LANTIME V5 Versionen and alle V6 Versionen wird empfohlen, auf 6.18.016 zu aktualisieren. Bitte kontaktieren Sie Ihren Meinberg Support, wenn Sie dafür Unterstützung benötigen oder Fragen haben.

Andere NTP Installationen

Bitte fragen Sie Ihren Betriebssystem- oder NTP-Software-Anbieter, ob die von Ihnen verwendeten Produkte betroffen sind. Wenn Sie den Meinberg NTP Installer für Windows verwenden, sollten Sie Ihre Systeme mit Hilfe des neuesten Installers auf 4.2.8p7 aktualisieren. Sie können dafür die "Update Binaries Only" Funktionalität des Installers nutzen.

4. Weitere Informationen

Weitere Details und Informationen finden Sie auf den folgenden Websites:

April 2016 Security Notice of the NTP Public Services Project [http://support.ntp.org/bin/view/Main/SecurityNotice#April_2016_NTP_4_2_8p7_Security]
NTF Release Announcement [http://nwtime.org/ntf-releases-ntp-4-2-8p7-security-patch/]
OpenSSL Security Advisory March1st [http://openssl.org/news/secadv/20160301.txt]
OpenSSL 1.0.2g Release Announcement [https://mta.openssl.org/pipermail/openssl-announce/2016-February/000063.html]

Zögern Sie bitte nicht, Ihren Meinberg Support zu kontaktieren, wenn Sie weitere Fragen haben oder Unterstützung benötigen.