NTP.org於本周三（10/21）釋出最新的ntp-4.2.8p4版本，以解決13個嚴重程度不等的安全漏洞，以及修補100個臭蟲，順道呼籲用戶儘快檢查NTP程式是否被用來進行分散式阻斷服務攻擊（DoS）。

NTP為「網路時間協定」（Network Time Protocol）的縮寫，為一可藉由封包交換以使各電腦系統之時間同步的網路協定。基於該協定的Network Time Protocol daemon（NPTD）則是一個可在作業系統背景執行的時間同步程式，廣泛被應用在全球網路、嵌入式裝置、桌面與伺服器系統上，包含Mac OS X、各大Linux版本與各種BSD（Berkeley Software Distribution）。

在NTP.org所修補的13個安全漏洞中，有8個來自思科安全情報研究團隊Talos的貢獻，其中CVE-2015-7871安全漏洞讓駭客得以強迫NPTD連結惡意時間來源，以任意更改系統時間。

駭客主要利用NPTD處理特定加密NAK封包時的演算錯誤以展開攻擊，當含有漏洞的NPTD收到一個NTP對稱主動加密的NAK封包時，它就會與發送端產生連結，而繞過在建立連結時所需的認證程序。

還有一個漏洞是來自於波士頓大學多位研究人員的貢獻，該編號為CVE-2015-7704的漏洞與NTP的Kiss O' Death（KoD）機制有關。KoD可用來限制請求頻率，因此，伺服器可以在拒絕提供服務或是客戶端請求同步頻率過高時送出KoD封包，然後停止進行同步。

研究人員指出，駭客可以打造一個偽裝成來自時間同步伺服器的KoD封包，並將它傳送到與伺服器連結的裝置上，之後，裝置便不會再向伺服器請求同步，而無法再更新時間，並形成阻斷服務攻擊。

系統上的時間錯誤可能帶來許多安全隱憂，像是可能接受過期憑證，或是讓許多必須檢驗時間的交易無法進行等。

至於NTP.org所擔心的分散式阻斷服務攻擊（DDoS）並沒有出現在此次的修補列表中，之所以特別強調應是因為NTP已成為駭客執行DDoS攻擊的跳板，駭客只要以特定的IP傳送請求至全球NTP伺服器上，就可能造成該IP的服務停擺。（編譯/陳曉莉）