新闻链接：http://www.seehand.com/news/309.html
新闻时间：2015.1.8
新闻正文：

苹果公司首次发布了针对Mac OS的自动补丁，以修补网络时间协议（ NTP ）中的关键漏洞。

该修复程序自动发送的，不需要用户重新启动Mac电脑。

上周，NTP协议被披露面临着用于时钟同步的新问题。Google的研究人员发现了该漏洞，并及时向用户发出警示，毫无疑问，苹果公司及时对这一发现作出了响应。然而尽管如此，很多制造商依然因此受到了影响。

4.2.8版以前的NTP包含一系列缓冲过溢的漏洞，可导致攻击者能够远程控制目标系统。另外，最近几次DDoS攻击中利用过的NTP漏洞现已得到修复。

根据来自NTP.org通知，最近发现的NTP漏洞可能会更加让人不安，因为其可以被用于发送一整个数据包。该漏洞影响不仅服务器和工作站，也给工业控制系统带来巨大隐患。ICS- CERT上周五还特别为此发出了警告。

ICS- CERT的官方声明称：“来自Google Security Team谷歌安全团队的研究员Neel Mehta和Stephen Roettger于CERT/CC就NTP的几个漏洞达成共识。因为NTP被广泛用于自动控制系统，NCCIC/ICS-CERT针对美国关键基础设施的所有者和经营者传播该信息，意在帮助用户提高认识，并确定帮助易受感染的设备应对黑客攻击的方案。这些漏洞可以被远程利用，并且利用这些漏洞是公开的。”

苹果公司发言人向路透社记者透露说，苹果公司在过去两年来一直具备发布自动安全更新的能力，但直到本周一才开始使用它。该发言人还说，目前并未受到任何有关Mac OS X受到攻击的消息。

ICS-CERT的警告中还列出了Google发现的一系列漏洞，包括使用不充分函数创建随即密钥，使用加密的弱随机数发生器，堆栈缓冲区溢出以及部分代码未得到返还等等，这一切都说明，漏洞修复工程还远不能停。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)