NTP 参考实现中有 3 个最近的漏洞。即:
CVE-2014-9296
CVE-2014-9295
CVE-2014-9294
ntpd 或 ntpdate 作为客户端运行是否容易受到任何这些漏洞的攻击,如果它所连接的服务器不能被信任?假设 ntpd 在大多数 Linux 服务器上配置为默认配置,因此不使用任何类型的“加密保护”,并且自身不能被不受信任的对等方查询。
这意味着连接到 ntp.org 提供的志愿者 ntp 服务器,这是不可信的。
NTP 参考实现中有 3 个最近的漏洞。即:
CVE-2014-9296
CVE-2014-9295
CVE-2014-9294
ntpd 或 ntpdate 作为客户端运行是否容易受到任何这些漏洞的攻击,如果它所连接的服务器不能被信任?假设 ntpd 在大多数 Linux 服务器上配置为默认配置,因此不使用任何类型的“加密保护”,并且自身不能被不受信任的对等方查询。
这意味着连接到 ntp.org 提供的志愿者 ntp 服务器,这是不可信的。
“在 ntpd 的 crypto_recv()、ctl_putdata() 和 configure() 函数中发现了多个缓冲区溢出缺陷。远程攻击者可以使用这些缺陷中的任何一个来发送可能导致 ntpd 崩溃或可能执行任意代码的特制请求数据包具有 ntp 用户的权限 注意:crypto_recv() 漏洞需要非默认配置才能激活,而 ctl_putdata() 漏洞默认只能通过本地攻击者利用,configure() 漏洞需要额外的身份验证利用。” 来源
如果你只是 server ntp.org在你的 ntp.conf 中做,那么不,你不是脆弱的。
只要您具有默认配置并且不接受经过身份验证的命令(听起来您不接受),那么就不会。如果您的 ntp.conf 文件没有以“crypto”开头的活动行。(你说你没有),那么没有。