{"data":{"case":{"actions":{"de":["Aktualisiere ntpd auf die neueste Version der Reihe **4.2.8**: Seit der Entwicklungsversion 4.2.7p26 beantwortet ntpd keine monlist-Anfragen mehr.","Wenn du nicht aktualisieren kannst, ergänze in der ntp.conf die Zeilen `restrict default` für IPv4 und IPv6 um `noquery`, um alle Statusabfragen zu sperren. Füge sonst zumindest `disable monitor` hinzu, um monlist abzuschalten.","Teste deine öffentlichen Zeitserver von außerhalb deines Netzwerks, etwa mit dem Nmap-Skript `ntp-monlist`: Ein sicherer Server meldet einen Fehler oder antwortet gar nicht.","Prüfe auch Router, Firewalls und andere Geräte mit eingebautem Zeitserver. Sperre NTP-Anfragen aus dem Internet, wo kein Client von außen sie braucht.","Wenn du ein Netzwerk betreibst, verwirf an seinem Rand Pakete mit gefälschten Absenderadressen, wie in **BCP 38** beschrieben. So kann niemand in deinem Netzwerk solche Angriffe starten."],"en":["Update ntpd to the latest **4.2.8** release: since development version 4.2.7p26, ntpd no longer answers monlist requests.","If you cannot update, add `noquery` to the `restrict default` lines for IPv4 and IPv6 in ntp.conf to block all status queries. Otherwise, at least add `disable monitor` to switch off monlist.","Test your public time servers from outside your network, for example with the Nmap script `ntp-monlist`: a safe server returns an error or no reply.","Check routers, firewalls and other devices with a built-in time server too. Block NTP requests from the internet where no outside client needs them.","If you run a network, drop packets with forged sender addresses at its edge, as described in **BCP 38**. That way, nobody in your network can launch such attacks."]},"criteria":{"damage":{"de":"Eine Gesamtzahl zum Schaden gibt es nicht. Die Quellen belegen keinen Ausfall kritischer Dienste. Bei einem regionalen Netzbetreiber in Michigan steigerten die Angriffe den Datenverkehr um mehr als 2 % und erhöhten die Gebühren für seine eigene Internetanbindung (Taming the 800 Pound Gorilla, 2014).","en":"No total of the damage exists, and the sources document no outage of critical services. At a regional network in Michigan, the attacks added more than 2 % to its traffic and raised the fees it paid for its own internet connection (Taming the 800 Pound Gorilla, 2014).","met":false},"exploitation":{"de":"Binnen 15 Wochen trafen Angriffe 437.000 Adressen in 11.558 Netzwerken und 184 Ländern mit 2,92 Billionen Paketen (Taming the 800 Pound Gorilla, 2014).","en":"Within 15 weeks, attacks hit 437,000 addresses in 11,558 networks and 184 countries with 2.92 trillion packets (Taming the 800 Pound Gorilla, 2014).","met":true},"reach":{"de":"Wöchentliche Scans des gesamten Internets fanden 1.405.186 verwundbare NTP-Server am 10. Januar 2014 und 2.166.097 verschiedene Adressen in 15 Wochen (Taming the 800 Pound Gorilla, 2014).","en":"Weekly scans of the whole internet found 1,405,186 vulnerable NTP servers on January 10, 2014, and 2,166,097 different addresses over 15 weeks (Taming the 800 Pound Gorilla, 2014).","met":true},"response":{"de":"Forscher, CERTs und Netzbetreiber beteiligten sich länderübergreifend an den Aufräumarbeiten. Das ganze Internet wurde wöchentlich gescannt. Die Betreiber wurden über CERTs und direkt benachrichtigt. Zugleich sank die Zahl der verwundbaren Server binnen rund drei Monaten um 92 %. In jeder Weltregion fiel sie um 63–97 % (Taming the 800 Pound Gorilla, 2014). US-CERT und CERT/CC gaben Warnungen heraus (US-CERT, CERT/CC).","en":"Researchers, CERTs and network operators joined the cleanup across countries. Weekly internet-wide scans and notifications, through CERTs and directly to operators, accompanied a 92 % drop in vulnerable servers within about three months. Every region of the world saw a decline of 63–97 % (Taming the 800 Pound Gorilla, 2014). US-CERT and CERT/CC issued warnings (US-CERT, CERT/CC).","met":true}},"cves":["CVE-2013-5211"],"cvss":5,"cvss_version":"2.0","cwe":"CWE-20","dates":[{"date":"2010-04-24","key":"patched"},{"date":"2013-12-30","de":"Während einer Welle von DDoS-Angriffen erhält die Sicherheitslücke die Nummer CVE-2013-5211","en":"Amid a wave of DDoS attacks, the flaw receives the number CVE-2013-5211"},{"date":"2014-01-10","de":"Der erste wöchentliche Scan des Internets findet 1.405.186 verwundbare Server","en":"The first weekly scan of the internet finds 1,405,186 vulnerable servers"},{"date":"2014-01-13","de":"US-CERT warnt vor NTP-Verstärkungsangriffen","en":"US-CERT warns of NTP amplification attacks"},{"date":"2014-02-10","de":"Ein Angriff mit fast 400 Gbit/s von 4.529 NTP-Servern trifft ein Ziel im Netzwerk von Cloudflare","en":"An attack of almost 400 Gbps from 4,529 NTP servers hits a target in Cloudflare's network"},{"date":"2014-02-11","de":"Der NTP-Verkehr erreicht seinen Höchststand mit etwa 1 % des gesamten Internetverkehrs","en":"NTP traffic peaks at about 1 % of all internet traffic"},{"date":"2014-04-18","de":"Noch 106.445 verwundbare Server sind übrig, 92 % weniger als im Januar","en":"106,445 vulnerable servers are left, 92 % fewer than in January"},{"date":"2014-12-19","de":"ntp 4.2.8 ist die erste stabile Version ohne monlist","en":"ntp 4.2.8 is the first stable version without monlist"}],"de":{"credit":"Im Hinweis des NTP-Projekts nicht genannt; breite Aufmerksamkeit bekam die Lücke erst durch die Angriffe im Dezember 2013","fixed":"ntpd 4.2.7p26, eine Entwicklungsversion (24. April 2010); die erste stabile Version ohne monlist ist ntp 4.2.8 (19. Dezember 2014)","product":"ntpd, die Zeitserver-Software des NTP-Projekts, und Geräte, die sie nutzen","summary":"Ein Diagnosebefehl in NTP-Zeitservern beantwortete eine winzige Anfrage mit einer Liste von bis zu 600 Adressen. So konnten Angreifer mit gefälschten Absenderadressen mehr als eine Million Server als Verstärker für DDoS-Angriffe nutzen."},"disclosed":"2014-01-02","en":{"credit":"Not named in the NTP project's notice; the flaw drew wide attention only through the attacks of December 2013","fixed":"ntpd 4.2.7p26, a development version (April 24, 2010); the first stable version without monlist is ntp 4.2.8 (December 19, 2014)","product":"ntpd, the time server software of the NTP project, and devices that use it","summary":"A diagnostic command in NTP time servers answered a tiny request with a list of up to 600 addresses. This let attackers with forged sender addresses use more than a million servers as amplifiers for DDoS attacks."},"figures":[{"de":"verschiedene Adressen verwundbarer NTP-Server in 15 Wochen Scans","en":"different addresses of vulnerable NTP servers in 15 weeks of scans","value":"2,166,097"},{"de":"Adressen in 184 Ländern binnen 15 Wochen von Angriffen getroffen","en":"addresses hit by attacks within 15 weeks, in 184 countries","value":"437,000"},{"de":"des gesamten Internetverkehrs entfiel auf dem Höhepunkt im Februar 2014 auf NTP, nach 0,001 % im November 2013","en":"of all internet traffic was NTP at its peak in February 2014, up from 0.001 % in November 2013","value":"1 %"},{"de":"weniger verwundbare Server am 18. April 2014 als beim ersten Scan im Januar","en":"fewer vulnerable servers on April 18, 2014, than in the first scan in January","value":"92 %"}],"key":"ntp-monlist","name":"NTP monlist","product":"NTP (ntpd)","sources":[{"de":"Taming the 800 Pound Gorilla: The Rise and Decline of NTP DDoS Attacks, ACM Internet Measurement Conference (2014, PDF)","title":"Taming the 800 Pound Gorilla: The Rise and Decline of NTP DDoS Attacks, ACM Internet Measurement Conference (2014, PDF)","url":"https://conferences.sigcomm.org/imc/2014/papers/p435.pdf"},{"de":"NTP-Projekt: Sicherheitshinweis zu Bug 1532, Verstärkungsangriff über den Befehl monlist","title":"NTP project: security notice on bug 1532, amplification attack using the monlist command","url":"https://www.ntp.org/support/securitynotice/ntpbug1532/"},{"de":"NTP-Projekt: Zeitleiste der Veröffentlichungen, mit ntp 4.2.8 (19. Dezember 2014)","title":"NTP project: release timeline, with ntp 4.2.8 (December 19, 2014)","url":"https://www.ntp.org/dev/releasetimeline/"},{"de":"NVD: CVE-2013-5211","title":"NVD: CVE-2013-5211","url":"https://nvd.nist.gov/vuln/detail/CVE-2013-5211"},{"de":"Mailingliste oss-security: Anfrage nach einer CVE-Nummer für das monlist-DDoS-Problem (30. Dezember 2013)","title":"oss-security mailing list: request for a CVE number for the monlist DDoS issue (December 30, 2013)","url":"https://www.openwall.com/lists/oss-security/2013/12/30/6"},{"de":"Mailingliste oss-security: CVE-2013-5211 vergeben (30. Dezember 2013)","title":"oss-security mailing list: CVE-2013-5211 assigned (December 30, 2013)","url":"https://www.openwall.com/lists/oss-security/2013/12/30/7"},{"de":"CERT/CC-Schwachstellenhinweis VU#348126","title":"CERT/CC vulnerability note VU#348126","url":"https://www.kb.cert.org/vuls/id/348126"},{"de":"US-CERT-Warnung TA14-013A: NTP-Verstärkungsangriffe über CVE-2013-5211","title":"US-CERT alert TA14-013A: NTP amplification attacks using CVE-2013-5211","url":"https://www.cisa.gov/ncas/alerts/TA14-013A"},{"de":"US-CERT-Warnung TA14-017A: Verstärkungsangriffe über UDP","title":"US-CERT alert TA14-017A: UDP-based amplification attacks","url":"https://www.cisa.gov/ncas/alerts/TA14-017A"},{"de":"ICS-CERT-Hinweis ICSA-14-051-04: NTP-Reflexionsangriff","title":"ICS-CERT advisory ICSA-14-051-04: NTP reflection attack","url":"https://www.cisa.gov/news-events/ics-advisories/icsa-14-051-04"},{"de":"Cloudflare: technische Details zu einem NTP-Verstärkungsangriff mit 400 Gbit/s (2014)","title":"Cloudflare: technical details behind a 400 Gbps NTP amplification DDoS attack (2014)","url":"https://blog.cloudflare.com/technical-details-behind-a-400gbps-ntp-amplification-ddos-attack/"}],"vector":"AV:N/AC:L/Au:N/C:N/I:N/A:P","year":2014}},"description":"Ab Dezember 2013 vervielfachten Angreifer ihren Datenverkehr mit einem Diagnosebefehl in NTP-Zeitservern. Wie das funktionierte und wie das Netz aufräumte.","language":"de","latest_measurement":"2026-11-01","method":"latency-v3","method_page":"https://crackthe.net/de/daten/methode/","source":"https://crackthe.net/","text":"Im Dezember 2013 begannen Angreifer, gewöhnliche Zeitserver für DDoS-Angriffe (Distributed Denial of Service) zu missbrauchen. Solche Angriffe legen ein Ziel lahm, indem sie es mit mehr Datenverkehr überfluten, als seine Internetverbindung verkraftet. Die Angreifer nutzten monlist, einen Diagnosebefehl in ntpd, der Serversoftware des NTP-Projekts. NTP, das Network Time Protocol, sorgt dafür, dass die Uhren von Computern und Netzwerkgeräten übereinstimmen. Eine Messstudie fand verwundbare Server unter 2,2 Millionen Internetadressen und zählte in 15 Wochen 437.000 angegriffene Adressen.\nSo funktionierte der Angriff Zeitserver beantworten kurze Anfragen von Geräten, die ihre Uhr stellen wollen. Zur Diagnose führte ntpd außerdem eine Liste der Clients, also der Geräte, die sich zuletzt bei ihm gemeldet hatten. Der Befehl monlist schickte diese Liste mit bis zu 600 Einträgen an jeden, der danach fragte. Laut US-CERT, dem Computer-Notfallteam der US-Regierung, war der Befehl auf älteren Geräten mit NTP standardmäßig eingeschaltet.\nNTP nutzt UDP, ein Verfahren, einzelne Datenpakete zu verschicken, ohne vorher eine Verbindung aufzubauen. Deshalb kann der Server nicht prüfen, wer eine Anfrage wirklich geschickt hat. Ein Angreifer trägt die Adresse des Opfers als Absender in die Anfrage ein. Der Server schickt seine Antwort dorthin. Eine monlist-Antwort kann weit größer sein als die Anfrage. Das verstärkt den Angriff: Der Angreifer verschickt wenige Daten, das Opfer empfängt viele.\nUS-CERT gibt für NTP einen Verstärkungsfaktor von 556,9 an: Die Antwort enthält das 556,9-Fache der Daten der Anfrage. Gezählt wird nur der Inhalt der Pakete. Für DNS, das Adresssystem des Internets, nennt US-CERT 28 bis 54. Die weiter unten beschriebene Studie zählte ganze Pakete. Demnach schickte ein typischer verwundbarer Server etwa das Vierfache der Daten der Anfrage zurück, ein Viertel der Server mindestens das 15-Fache. Einige wenige „Mega-Verstärker“ beantworteten ein einzelnes Paket mit Gigabytes. Der größte schickte mehr als 136 Gigabyte an einem Tag, wahrscheinlich wegen einer Schleife im Netzwerk.\nWeil die Datenflut von Tausenden legitimer Server kam, war sie schwer zu blockieren. In die Server war niemand eingebrochen; sie dienten als Werkzeuge gegen andere.\nAngreiferschickt eine winzige monlist-Anfrage mit der Adresse des Opfers als Absender NTP-Serverantwortet mit seiner Liste von bis zu 600 letzten Clients Antwortviele Pakete, weit größer als die Anfrage Opferwird mit Datenverkehr überflutet, den es nie angefordert hat Der Angreifer schickt dieselbe Anfrage gleichzeitig an viele Server, sodass sich ihre Antworten beim Opfer summieren. Reichweite und Schaden Die genauesten Messungen liefert „Taming the 800 Pound Gorilla“, eine Studie von 2014. Sie stammt von Forschern der University of Michigan, des Netzbetreibers Merit Network, der Colorado State University und der University of Illinois. Die Studie verbindet Verkehrsdaten des Sicherheitsunternehmens Arbor Networks mit wöchentlichen Scans des Internets und Daten aus zwei regionalen Netzwerken. Die Daten von Arbor decken ein Drittel bis die Hälfte des gesamten Internetverkehrs ab.\nIm November 2013 machte NTP in den Daten von Arbor etwa 0,001 % des Datenverkehrs aus. Bis Mitte Februar 2014 stieg der Anteil auf etwa 1 %, mehr als DNS, und erreichte am 11. Februar seinen Höchststand. Im Februar und März nutzten die meisten Angriffe mit mehr als 2 Gbit/s (Gigabit pro Sekunde) NTP. Drei Monate zuvor war NTP nur an 0,07 % aller Angriffe beteiligt gewesen.\nDas Open NTP Project begann am 10. Januar 2014, jede Woche das gesamte Internet zu scannen. Sein erster Scan fand 1.405.186 Server, die auf monlist-Anfragen antworteten. In 15 Wochen erfassten die Scans 2.166.097 verschiedene Adressen. Ein Grund: 13–35 % der Server waren Computer von Endnutzern, etwa Heim-PCs, deren Adressen wechseln können.\nNTP-Server, die auf monlist-Anfragen antworteten 10. Januar 20141.405.186 24. Januar 2014677.112 14. Februar 2014235.370 21. März 2014110.565 18. April 2014106.445 Ausgewählte wöchentliche Scans des gesamten Internets durch das Open NTP Project. Quelle: Taming the 800 Pound Gorilla (2014).\nDie monlist-Listen verzeichnen auch die gefälschten Absenderadressen, also die Opfer. In 15 Wochen fanden die Forscher 437.000 angegriffene Adressen in 184 Ländern, getroffen von 2,92 Billionen Paketen, etwa 1,2 Petabyte an Daten. Weil eine Liste meist nur die letzten zwei Tage vor einem Scan abdeckte, schätzen die Autoren die tatsächlichen Zahlen auf etwa das 3,8-Fache. Rund die Hälfte der Opfer waren Computer von Endnutzern. Viele Angriffe zielten auf die Netzwerkports, die Onlinespiele nutzen. Ein Port ist eine Art nummerierte Tür. Die Autoren folgern, dass sich ein großer Teil der Angriffe gegen Spieler richtete.\nAm 10. Februar 2014 stellte ein Angriff auf ein Ziel im Netzwerk von Cloudflare einen damaligen Rekord für NTP-Angriffe auf. Cloudflare schützt Websites vor solchen Angriffen. Laut dem Unternehmen erreichte der Angriff in der Spitze knapp 400 Gbit/s und ging von 4.529 NTP-Servern in 1.298 Netzwerken aus.\nEine Gesamtzahl zum Schaden gibt es nicht. Ausfälle kritischer Dienste wie Krankenhäuser oder Stromversorgung belegen die Quellen nicht. Auch die Netze, die die Datenflut transportierten, zahlten mit. Bei Merit, einem regionalen Netzbetreiber in Michigan, erhöhten die Angriffe den gesamten Datenverkehr um mehr als 2 %. Das steigerte die Gebühren, die Merit für die eigene Internetanbindung zahlte.\nDer Patch und die Reaktion Die NTP-Entwickler hatten monlist lange vorher aus ntpd entfernt, in der Entwicklungsversion 4.2.7p26 vom 24. April 2010. An seine Stelle trat der neuere Befehl mrulist. Die stabile Versionsreihe 4.2.6 behielt monlist jedoch. Die erste stabile Version ohne den Befehl, ntp 4.2.8, erschien erst am 19. Dezember 2014. Am 30. Dezember 2013 verwies eine Anfrage auf einer öffentlichen Sicherheits-Mailingliste auf „eine Häufung von DDoS-Angriffen in letzter Zeit, die die monlist-Funktion nutzen“. Die Lücke erhielt noch am selben Tag die Nummer CVE-2013-5211.\nIm Januar 2014 veröffentlichte das CERT/CC der Carnegie Mellon University einen Schwachstellenhinweis und das US-CERT eine Warnung. Ihr Rat: ntpd aktualisieren oder die Abfragen mit einer Einstellung in der Konfigurationsdatei abschalten. Auch ICS-CERT, das US-Team für industrielle Steuerungssysteme, warnte.\nDie verwundbaren Server verschwanden schnell. Zwei Wochen nach dem ersten Scan war weniger als die Hälfte übrig. Am 21. März waren es noch etwa 110.000. Danach bewegte sich die Zahl kaum noch: Am 18. April lag sie bei 106.445, 92 % weniger als im Januar. Die Studie lobt die gemeinsame Reaktion von Forschung und Netzbetreibern. Das Open NTP Project veröffentlichte jede Woche seine Zählungen. Forscher benachrichtigten die Betreiber über CERTs (Computer-Notfallteams) und direkt. Viele Netzbetreiber spürten die Angriffe zudem im eigenen Datenverkehr. Die Autoren halten es für wahrscheinlich, dass die Benachrichtigungen geholfen haben. Ursache und Wirkung lassen sich aber nicht beweisen, betonen sie.\nRückgang der verwundbaren NTP-Server nach Kontinent Nordamerika97 % Ozeanien93 % Europa89 % Asien84 % Afrika77 % Südamerika63 % Rückgang der Zahl der Server, die auf monlist-Anfragen antworteten, von Januar bis zum 18. April 2014. Quelle: Taming the 800 Pound Gorilla (2014).\nDie Aufräumarbeit ging weit schneller voran als bei offenen DNS-Resolvern. Solche Server schlagen für jeden Adressen nach und lassen sich auf dieselbe Weise missbrauchen. Vollständig war die Aufräumarbeit aber nicht. Rund 4 Millionen NTP-Server beantworteten weiterhin eine andere Abfrage, version. Auch sie lässt sich missbrauchen, wenn auch selten mit so großen Antworten. Diese Gruppe schrumpfte nur um 19 %.\nDie US-amerikanische National Vulnerability Database bewertet die Sicherheitslücke auf der älteren CVSS-Version 2 mit 5,0 von 10, also als „mittel“. Einen Wert nach Version 3 gibt es nicht. Der Wert ist nicht höher, weil ein Angreifer auf dem Server weder Daten lesen noch verändern kann. Die Lücke beeinträchtigt nur die Verfügbarkeit, vor allem die anderer Systeme.","title":"NTP monlist: Wie Zeitserver DDoS-Angriffe verstärkten","url":"https://crackthe.net/de/sicherheit/schwachstellen/ntp-monlist/"}