Como atualizar o ntpd para a versão mais recente para corrigir a vulnerabilidade mais recente?

Question

Esta semana um novo ataque no Network Time Protocol Daemon (ntpd) foi demonstrado, veja este artigo . Isso pode potencialmente causar estragos no meu site HTTPS ou em outros serviços sensíveis ao tempo que estou executando.

De acordo com o artigo, para permanecer seguro, clientes e servidores devem executar pelo menos a versão NTP 4.2.8p4 .

Executar ntpd --version na minha máquina Ubuntu LTS 14.04.3 me dá ntpd 4.2.6p5 , que ainda está vulnerável. Isso ocorre mesmo depois de executar apt-get update , apt-get upgrade e apt-get dist-upgrade .

Aparentemente eu posso baixar a última versão do ntp.org eu mesmo. Mas não tenho certeza se isso entrará em conflito com minha instalação existente do ntpd feita via apt-get . Além disso, eles só oferecem o download via HTTP e seu método de garantir a autenticidade é usando um checksum MD5 hash ... Estou ansioso para o meu patch backdoored NSA. Eu realmente gostaria que as pessoas usassem assinaturas GPG.

1. O Ubuntu planeja lançar um patch de segurança para atualizar o ntpd para o 4.2.8p4 em breve? O que será necessário para obter a correção?

2. Se eu li o código e assumi que a versão 4.2.8p4 disponível para download no site ntp.org era confiável, como posso instalá-lo sem conflitos?

Answer 1

1. Instale checkinstall , leia man checkinstall e use checkinstall para acompanhar os arquivos instalados.

2. Baixe, crie e instale a versão de ntpd que você precisa, sobrescrevendo o Ubuntu. Verifique se você pode make uninstall (lendo Makefile ) ou acompanhe os arquivos instalados.

3. Quando o Ubuntu atualizar ntpd para, ou além, da versão desejada, retorne ao diretório de origem e make uninstall . Então sudo apt-get install --reinstall ntpd deve fazer você re-sincronizar com a versão oficial.

Nota: eu não tentei isso, então posso estar errado.