CVE-2025-58066

ŚrednieCVSS 5.3

Opublikowano: 29/08/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

ntpd-rs to narzędzie do synchronizacji zegara implementujące protokoły NTP i NTS. W wersjach od 1.2.0 do 1.6.1 włącznie serwery zezwalające na ruch non-NTS są podatne na denial-of-service, gdzie atakujący może wywołać burzę komunikatów między dwoma serwerami NTP z ntpd-rs. Konfiguracje klienckie nie są podatne.

Ocena ryzyka

Atakujący może wywołać lawinę komunikatów między serwerami NTP, przeciążając je i zakłócając synchronizację czasu w infrastrukturze.

Rekomendacja

Zaktualizuj ntpd-rs do wersji 1.6.2 lub nowszej tak szybko, jak to możliwe.

Inne podatności w ntpd-rs

CVE-2023-33192Wysokie
Podatność w ntpd-rs, implementacji NTP napisanej w Rust, polega na braku walidacji długości ciasteczek NTS w otrzymanych pakietach NTP. Atakujący może spowodować awarię serwera, wysyłając specjalnie skonstruowany pakiet NTP z ciasteczkiem krótszym niż oczekiwane przez serwer.

Oryginalny opis (angielski, źródło NVD)

nptd-rs is a tool for synchronizing your computer's clock, implementing the NTP and NTS protocols. In versions between 1.2.0 and 1.6.1 inclusive servers which allow non-NTS traffic are affected by a denial of service vulnerability, where an attacker can induce a message storm between two NTP servers running ntpd-rs. Client-only configurations are not affected. Affected users are recommended to upgrade to version 1.6.2 as soon as possible.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS