組網(wǎng)及說明
本案例涉及版本范圍：comware V7 高端路由器 R82XX（含）之前版本
問題描述
客戶在網(wǎng)有多臺(tái)CR16K-F系列設(shè)備，第三方漏掃發(fā)現(xiàn)設(shè)備會(huì)響應(yīng)NTP mode 6查詢報(bào)文，因此判斷設(shè)備存在“網(wǎng)絡(luò)時(shí)間協(xié)議 （NTP）模式6（DOS）”漏洞。
漏洞影響：網(wǎng)絡(luò)時(shí)間協(xié)議 （NTP）響應(yīng)模式 6 查詢，可導(dǎo)致拒絕服務(wù)情況。
利用此漏洞可遠(yuǎn)程N(yùn)TP服務(wù)器響應(yīng)模式6查詢。響應(yīng)這些查詢的設(shè)備有可能用于NTP放大攻擊。未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者可能通過精心設(shè)計(jì)的模式6查詢利用此漏洞，導(dǎo)致反映的拒絕服務(wù)情況。
過程分析
comware系統(tǒng)缺省響應(yīng)NTP mode 6查詢，因此在收到mode 6 query報(bào)文后，就會(huì)回復(fù)響應(yīng)報(bào)文，即被第三方漏掃設(shè)備判斷涉及漏洞。
而設(shè)備NTP功能不支持mode 6報(bào)文的settrap和writeclock功能，因此不涉及如“CVE-2016-9310”等需要這些功能的漏洞
解決方法
前述版本范圍設(shè)備避免mode6查詢響應(yīng)的方式只有提前阻斷NTP mode 6 query報(bào)文上送到CPU處理：
1、ntp-service peer acl xxx
2、在設(shè)備全局或與掃描設(shè)備連接接口應(yīng)用packet-filter過濾目的地址為本機(jī)的ntp協(xié)議報(bào)文（deny前先permit允許同步NTP時(shí)間的IP地址）
R83XX以上版本支持“ntp-service noquery enable”命令關(guān)閉NTP mode 6/7 報(bào)文查詢響應(yīng)，可以避免被掃描檢查到。
以上內(nèi)容來源：知了社區(qū)，基于知識(shí)共享署名-相同方式共享3.0中國大陸許可協(xié)議進(jìn)行許可
云吶致力于為企業(yè)公司、銀行、政府 事業(yè)、學(xué)校教育類、醫(yī)療類、交通類、通信類等行業(yè)提供一站式數(shù)字可視化智能運(yùn)維解決方案。如果對(duì)AIOps、智慧運(yùn)維一體機(jī)有什么疑問，你可以聯(lián)系在線客服，或直接注冊(cè)免費(fèi)試用云吶系統(tǒng)。
