Sümptomid
Turvahaavatavust värskenduste koondpakett 13 Windows Azure Pack (WAP) mis põhjustab teatud sümbolite portaali Kasutajaliidese piirangud jätma avalikustada. Portaali Kasutajaliidese piirab teatud sümbolid, näiteks suurem kui (<) ja väiksema (>) sümbolid, mida on vaja "< >" avalikustada.
Uuesti läbimängimise taotlust Fiddler, mida saab saata stringidega, mis sisaldavad märke nagu < ja > tellimuse nimi. SubscriptionName välja saate seada mis tahes stringi kuni 128 märki. Selle stsenaariumi puhul saate laadimine ja erinevaid skripte nagu < script src = "https://code.jquery.com/jquery-1.10.2.min.js" > või < script > alert(document.cookie) < / script >.
Lisateabe saamiseks selle haavatavuse, vt Microsofti levinud nõrkused ja riskid CVE-2018-8652.
Lahendus
Info allalaadimiseks
Windows Azure'i paketi jaoks on saadaval Microsoft Update'i või käsitsi alla laadida.
Microsoft Update
See värskendus on saadaval Windows Update'i kaudu. Automaatse värskendamise sisselülitamisel see värskendus alla ja installitakse automaatselt. Kuidas saada automaatselt turvavärskenduste kohta lisateabe saamiseks vaadake Windows Update: FAQ.
Värskenduspaketi käsitsi allalaadimine
Minge järgmisele veebisaidile käsitsi alla laadida Microsofti värskenduste kataloogist security update pakett:
Windows Azure'i paketi turvalisuse värskenduspaketi kohene allalaadimine.
Installiteave
Nende paigaldamise juhised on Windows Azure'i paketi järgmised komponendid:
-
Rentniku sait
-
Rentniku API
-
Rentniku avaliku API
-
Sait
-
Halduse API
-
Autentimine
-
Windowsi autentimine
-
Kasutus
-
Seire
-
Microsofti SQL
-
MySQL-i
-
Veebiteenuse rakenduse Galerii
-
Saidi konfigureerimine
-
Best Practices Analyzer
-
PowerShell API
Iga Windows Azure'i paketi komponent värskenduse MSI-failide installimiseks toimige järgmiselt.
-
Kui süsteem on praegu toimib (käsitsemise kliendi liikluse) ajakava seisakut Azure'i servereid. Windows Azure'i pakett ei toeta praegu jooksva uuendamine.
-
Peatage või kliendi liiklus suunatakse muud saidid, mis teie arvates on rahuldav.
-
Arvutid varundamiseks. Märkused
-
Kui kasutate virtuaalarvutit, võtta oma praeguse oleku hetktõmmiseid.
-
Kui kasutate virtuaalarvutit, varundage kõik MgmtSvc-* kausta Inetpub kataloog igas arvutis, kuhu on installitud WAP komponent.
-
Koguda teavet ja sertide, hosti päised ja port muudatusi seotud failid.
-
-
Kui kasutate oma teema Windows Azure Pack rentniku saidi, vaadake, Kuidas ei kao pärast täiendamist Microsoft Windows Azure'i Pack kujunduse enne värskenduse käivitamist.
-
Installige värskendus vastava komponendi arvutil iga .msi faili käivitamisega. Näiteks käivitage MgmtSvc AdminAPI.msi arvutis, kus töötab "MgmtSvc AdminAPI" saidi IIS-i.
-
Käivitage komponentide värskendusi iga sõlme all load balancing järgmises järjestuses:
-
Kui kasutate algset iseallkirjastatud serdid, WAP-i installitud, värskendamist asendab need. Teil on uue serdiga eksportida ja teisi sõlmi all load balancing importida. Need sertifikaadid on a CN = MgmtSvc-* (iseallkirjastatud) nimede muster.
-
Värskendusteenused ressursi pakkuja (RP) (SQL Server, minu SQL, VMM SPF-i, veebilehed) vastavalt vajadusele. Ja veenduge, et RP saidid töötab.
-
Rentniku API saidi, avaliku rentniku API, administraatori Rakendusliides sõlmed ja administraator ja rentniku autentimine saite värskendada.
-
Värskendage administraator ja rentniku saitidele.
Skriptide hankida andmebaasi versioonid ja värskendada andmebaaside MgmtSvc PowerShellAPI.msi installitud salvestatakse järgmisse asukohta:
C:\Program Files\Management Service\MgmtSvc-PowerShellAPI\Samples\Database Kui kõik komponendid on värskendatud ja töötab ootuspäraselt, saate avada liiklust oma värskendatud sõlmedesse. Vastasel juhul lugege jaotist "Tagasipööramise juhised". Märkus. Kui olete värskendamise värskenduskomplekti, mis on sama või varasem värskenduse värskenduskomplekti 5 Windows Azure'i paketi, WAP-i andmebaasi värskendamiseks järgige neid juhiseid .
-
Kui ilmneb probleem ja te kindlaks, et a tagasipööramine on vajalik, toimige järgmiselt.
-
Kui hetktõmmised on saadaval teine märkus jaotises "Installijuhised" 3. sammus kirjeldatud, kehtivad tõmmised. Kui hetktõmmiseid, minge järgmise sammu juurde.
-
Varundamiseks võeti kolmandas märkused "Installijuhised" samm 3 kirjeldatud oma andmebaasid ja arvuteid. Märkus. Ärge jätke süsteemi osaliselt värskendatud olekus. Toiminguid tagasipööramise kõigis arvutites, kuhu installiti Windows Azure'i paketi, isegi siis, kui värskendus ebaõnnestus ainult ühest sõlmest. Me soovitame, et käivitada Windows Azure Pack Best Practice Analyzer Windows Azure'i paketi sõlmedel veendumaks, et konfiguratsiooni kirjed on õiged.
-
Avage oma taastatud sõlmed liiklust.
