互联网核心组件NTPD存安全漏洞 部分银行业务或受影响

4月底，NTP（网络时间协议，Network Time Protocol)项目组发布了一个安全公告，公开了由360信息安全部云安全团队提交的4个漏洞，这四个漏洞存在于互联网核心组件NTPD(网络时间守护协议进程)中，利用这些漏洞，攻击者可以向NTPD发送伪造的经过加密的、针对远程管理模块的数据包，导致系统时间无法正常同步。

互联网世界中，时间的统一性和准确性是保证主机与主机之间数据传递的基础要素，而NTP就是用来使网络中的各个计算机时间同步的一种协议，它的用途是把计算机的时钟同步到世界协调时，以确保网络中的数据交互能够顺利进行。

而NTPD组件主要用于主机与主机之间的时间同步，上世纪发布至今被广泛部署在服务器、网络设备、嵌入式、桌面操作系统中，其中主要包括Linux主要发行版、BSD、Mac OS X、嵌入式、桌面系统、Cisco网络设备等。

本次NTP项目组公布的由360云安全团队发现并提交的这4枚漏洞主要包括：远程匿名拒绝服务CVE-2016-2519、CVE-2016-2516；逻辑漏洞CVE-2016-2517和信息泄露漏洞CVE-2016-2518。这4个漏洞存在于除4.2.8p7之外的所有NTP 4标准版本和除了4.3.92之外的NTP-dev.4.3.0 起的所有开发版本。

攻击者可能利用这些漏洞来实现诸如利用过期的账号和密码进行身份验证；攻击金融行业系统里的准实时对账、备份等恶意行为。

360公司信息安全部云安全团队负责人蔡玉光特别指出，各大银行在网络上的结算业务对NTP服务器的时间校验都有很大的依赖，因此如果有人恶意的使用这些漏洞攻击所在的NTP服务器，就会造成银行内部的业务出现间断或者不可预知的问题。

不只是在金融业，几乎所有基于时间驱动的身份验证业务都会在“时间”这一要素出现不同步问题后遇到拒绝服务的问题。互联网时间之父Harlan Stenn曾表示：如果网络时间协议守护进程被恶意攻击将会引发严重的灾难。

蔡玉光建议使用NTPD进行远程管理的用户通过以下策略进行安全防护：

1、通过设置防火墙或ACL禁止外部网络远程访问提供ntpd服务器的端口；

2、禁止NTP的远程管理访问，或只允许服务器本地访问；

3、升级NTP到最新版本（当前最新是 NTP-4.2.8p7 ）。

另外360天眼团队已经跟进发布最新的特征规则，来检测企图利用这些漏洞的攻击。