Network Time FoundationのNTPプロジェクトは2月27日(米国時間)、「Network Time Foundation Publishes NTP 4.2.8p11 - Network Time Foundation」において、ntpの最新版となる「ntp-4.2.8p11」の公開を伝えた。今回のバージョンではntpdに存在する5つの脆弱性やバグの修正などが行われている。
修正対象の脆弱性は次のとおり。
【ntpdにおける脆弱性】
- CVE-2016-1549、VU#961909、Sec 3012
- CVE-2018-7182、VU#961909、Sec 3412
- CVE-2018-7170、VU#961909、Sec 3415
- CVE-2018-7184、VU#961909、Sec 3453
- CVE-2018-7185、VU#961909、Sec 3454
【ntpqにおける脆弱性】
今回修正の対象となった脆弱性の重要度は低または中とされている。NTPプロジェクトでは今回のリリースをntp 4.2.8系最後のリリースにすると見込んでおり、次のメジャーリリースはntp 4.4.0になる見通し。
ntpは時刻を同期するソフトウェアとして広く使われているため、その脆弱性の影響範囲は広い。常に最新版にアップデートし続けることが望まれる。ntpを搭載したルータやアプライアンスについては、ベンダーがファームウェアアップデートの形などでアップデートを提供することになるため、ベンダーが提供する情報に従って随時アップデートを適用することが望ましい。