MagicLinux 7chrony-2.1.1-1.0.1.el7.AXS7 (AXSA:2015-927:01)
medium Nessus 插件 ID 289344
语言：
简介
远程iraclelinux 主机缺少一个或多个安全更新。描述
远程iraclelinux 7 主机上存在安装的程序包该程序包受到公告 AXSA:2015-927:01 中提及的多个漏洞的影响。此程序是网络时间协议的客户端/服务器，可确保计算机的时钟保持准确。它经专门设计用于支持具有间歇性连接的系统，但它在永久连接的环境中也可以很好地工作。它还可以使用硬件参考时钟、系统实时时钟或手动输入作为时间参考。
此版本修复的安全问题
CVE-2015-1821 低于 1.31.1 的 chrony 中基于堆的缓冲区溢出允许经过认证的远程用户造成拒绝服务chronyd 崩溃或可能执行任意代码方法是使用大小为 的子网大小配置 (1) NTP 或 (2) cmdmon 访问。不能被 4 整除且子网余数中包含非零位的地址。
CVE-2015-18221.31.1 之前的 chrony 在保存对命令请求未确认的回复时未初始化最后一个下一个指针这将允许经认证的远程用户通过大量与命令请求。
CVE-2015-1853
** 已预留 ** 该候选编码已被某个组织或个人预留，将在公告新的安全问题时使用。在公布候选编码时，将提供该候选编码的详情。
修复的缺陷：
* 已更新到 NTP 版本 4 (RFC 5905)
* 已添加池指令以指定 NTP 服务器的池
* 已添加 leapsecmode 指令以选择如何修正时钟闰秒
* 已添加 smoothtime 指令以平滑提供的时间并启用闰秒弥补
* 已添加具有 POSIX 线程的异步名称解析
* 准备用于 2036 年（下一个 NTP 时代）
* 已改进时钟控制
* 改写了网络代码为每个 NTP 服务器打开单独的客户端套接字 修复了缺陷
* chronyd 服务之前假设在启动服务时使用 bindaddress 指令指定的网络接口已准备就绪。如果该接口未准备就绪，则将导致 chronyd 无法将 NTP 服务器套接字绑定到该接口。通过此更新，chronyd 使用 IP_FREEBIND 套接字选项，使其可以在以后而不只在服务开始时绑定到接口。
增强：
* chronyd 现在支持四种使用 Leapsecmode 选项配置的闰秒处理模式。时钟可以由内核步进默认系统模式、由 chronyd 步进步进模式通过旋转缓慢调整旋转模式或者可以忽略闰秒并在以后在正常操作中修正忽略模式。如果选择 slewing，修正将始终在 UTC 00:00:00 开始，并以 maxslewrate 选项中指定的速率应用。
Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的 chrony 程序包。另见
插件详情
严重性: Medium
ID: 289344
文件名: miracle_linux_AXSA-2015-927.nasl
版本: 1.1
类型: local
发布时间: 2026/1/16
最近更新时间: 2026/1/16
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.9
Vendor
Vendor Severity: Moderate
CVSS v2
风险因素: Medium
基本分数: 6.5
时间分数: 4.8
矢量: CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P
CVSS 分数来源: CVE-2015-1822
CVSS v3
风险因素: Medium
基本分数: 6.5
时间分数: 5.7
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2015-1853
漏洞信息
CPE: cpe:/o:miracle:linux:7, p-cpe:/a:miracle:linux:chrony
必需的 KB 项: Host/local_checks_enabled, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list, Host/cpu
易利用性: No known exploits are available
补丁发布日期: 2015/12/11
漏洞发布日期: 2015/4/7