В демоне синхронизации точного времени ntpd 4.2.8 устранена серия переполнений буфера в коде функций crypto_recv(), ctl_putdata() и configure(), приводящих к возникновению критической уязвимости (CVE-2014-9295). Отправив специальным образом оформленный пакет, злоумышленник может инициировать отказ в обслуживании и потенциально организовать выполнение своего кода в системе с правами процесса ntpd, который обычно выполняется под пользователем ntp.
Ссылка: http://www.opennet.ru/opennews/art.shtml?num=41309