Σύνοψη
Προβιβασμό δικαιωμάτων ευπάθεια υπάρχει όταν η βιβλιοθήκη Azure Active Directory Passport (Passport-Azure-AD για Node.js) επικυρώνει σωστά Αναγνωριστικό διακριτικά.
Ένας εισβολέας που εκμεταλλεύεται με επιτυχία αυτή την ευπάθεια θα μπορούσε να παρακάμψει ελέγχου ταυτότητας Azure υπηρεσίας καταλόγου Active Directory σε μια εφαρμογή web του κεντρικού υπολογιστή προορισμού. Για να εκμεταλλευτεί αυτή την ευπάθεια, ένας εισβολέας θα πρέπει να στείλει ένα ειδικά δημιουργημένο διακριτικό στην εφαρμογή web προορισμού που περιέχει ένα έγκυρο χρήστη ισχυρισμούς ταυτότητας. Αυτή η ενημερωμένη έκδοση αντιμετωπίζει την ευπάθεια διορθώνοντας τον τρόπο επικυρώνονται διακριτικά Αναγνωριστικό όταν στρατηγικές Passport να επωφεληθούν από Azure υπηρεσίας καταλόγου Active Directory.
Συνήθεις ερωτήσεις σχετικά με αυτό το θέμα ευπάθειας
Q1: Χρήση Azure υπηρεσίας καταλόγου Active Directory. Μπορεί να με επηρεάσει;
A1: Αυτή η ευπάθεια επηρεάζει μόνο τις εφαρμογές web που χρησιμοποιούν το Passport-Azure-AD για Node.js βιβλιοθήκη για να εκμεταλλευτείτε Azure AD για έλεγχο ταυτότητας. Πρότυπο ελέγχου ταυτότητας Azure AD που δεν χρησιμοποιεί το AD Azure Passport για Node.js βιβλιοθήκη δεν επηρεάζεται. Η ευπάθεια στις εφαρμογές web που χρησιμοποιούν παλιότερες εκδόσεις του το AD Azure Passport για τη βιβλιοθήκη Node.js.
Q2: Τι είναι Passport-Azure-AD και για τους Node.js;
A2: Passport-Azure-AD και για τους Node.js είναι μια συλλογή των στρατηγικών Passport που σας βοηθούν να ενσωματώσετε εφαρμογές σας κόμβο με Azure υπηρεσίας καταλόγου Active Directory. Περιλαμβάνει σύνδεση OpenID, WS-Ομοσπονδία και SAML P ελέγχου ταυτότητας και εξουσιοδότησης. Αυτές οι υπηρεσίες παροχής σας επιτρέπουν να χρησιμοποιείτε πολλές δυνατότητες του διαβατηρίου-Azure AD για Node.js, συμπεριλαμβανομένων των web καθολικής σύνδεσης (WebSSO), Endpoint Protection με OAuth, και JWT έκδοση κωδικού και την επικύρωση.
Πληροφορίες ενημέρωσης
Οι προγραμματιστές που χρησιμοποιούν τη βιβλιοθήκη Passport Azure AD Node.js πρέπει να λήψη της τελευταίας έκδοσης του Passport-Azure-AD για Node.js βιβλιοθήκη και στη συνέχεια να ενημερώσετε τις εφαρμογές τους. Οι τεχνικές λεπτομέρειες δημοσιεύονται σε μας GitHub αποθετήριο.
Οι προγραμματιστές που χρησιμοποιούν την έκδοση 1. x , πρέπει να ενημερώσετε σε έκδοση 1.4.6.
Οι προγραμματιστές που χρησιμοποιούν την έκδοση 2.0, πρέπει να ενημερώσετε έκδοση 2.0.1.
Κατάσταση
Η Microsoft έχει επιβεβαιώσει ότι πρόκειται για ένα θέμα που αφορά το Passport-Azure-AD για τη βιβλιοθήκη Node.js.
Αναφορές
Αριθμός CVE: 2016 7191
Πληροφορίες σχετικά με την ορολογία που χρησιμοποιεί η Microsoft για την περιγραφή ενημερωμένων εκδόσεων λογισμικού.
