NTPがDDoS攻撃の踏み台として使用される問題のSEILシリーズへの影響について

SEILシリーズの該当状況

以下のバージョンにおいて影響を受けます。

SEILシリーズへの影響内容

SEILシリーズのNTPサーバ機能が有効な状態で、不特定からのNTPリクエストを受け付ける設定で利用している場合、悪意あるNTPリクエストを受け付けると、第三者のネットワークやホストに対するDDoS攻撃の踏み台となる可能性があります。

また、DDoS攻撃の踏み台にされた場合、SEIL自身のリソースが大量に消費され、使用している機能の停止やパフォーマンス低下が発生する可能性があります。

SEILシリーズではNTPサーバが有効であると、NTPコントロールメッセージの要求を全て受け付けます。特にNTPコントロールメッセージのmode 7に含まれるmonlist機能は、リクエストに対して非常に大きなレスポンスを返す場合があります。

このため、NTPサーバ機能を使用する場合には、IPパケットフィルタを適切に設定してください。

SEILシリーズにおける対応

mode 6およびmode 7のNTPコントロールメッセージを受け付けないよう変更したファームウェアをリリース済みです。下記バージョン以降のファームウェアへの早急な更新を推奨します。

下記のバージョン以降への早急な変更を推奨します。

設定による回避

• NTPサーバ機能を利用する必要が無い場合、機能を無効にしてください。

  ntp disable

• NTPサーバ機能による時刻同期を利用する場合、IPパケットフィルタを適切に設定し、DDoS攻撃を引き起こすNTPリクエストパケットの受信を拒否することで影響を軽減できます。

  1. 時刻同期を行うためのフィルタを設定する。

     filter add ntp_out_pass interface <インタフェース名> direction out action pass protocol udp dstport 123 state enable
     filter6 add ntp6_out_pass interface <インタフェース名> direction out action pass protocol udp dstport 123 state enable

  2. 信頼できないネットワークからのNTPクエリをfilterを使って遮断する

     filter add ntp_deny interface <インタフェース名> direction in action block protocol udp dst self dstport 123
     filter6 add ntp6_deny interface <インタフェース名> direction in action block protocol udp dst self dstport 123

関連情報

1. JP Vendor Status Notes JVNVU#96176042 : NTPがDDoS攻撃の踏み台として使用される問題

   • http://jvn.jp/cert/JVNVU96176042/index.html

2. US-CERT Vulnerability Note VU#348126

   • http://www.kb.cert.org/vuls/id/348126