Simptomi
Sigurnosnu ranjivost postoji u 13 Kumulativno ažuriranje za paket Windows Azure (Protocol WAP) koji uzrokuje skripta se unos određenih simbola zaobići portala ograničenja korisničkog Sučelja. Portal UI ograničava određene simbole kao što su veće od (<) i manje od (>) simbole koji su potrebni za unos "< script >".
Nizovi koji sadrže znakove poput < i > po replaying zahtjeva u Fiddler mogu se poslati kao naziv pretplate. SubscriptionName polje može biti postavljeno bilo koji niz do 128 znakova. U ovom scenariju možete učitavaju i pokreću razne skripte kao što su < skripte src = "https://code.jquery.com/jquery-1.10.2.min.js" > ili alert(document.cookie) < script > < / skripte >.
Da biste saznali više o ovom slabe točke potražite ranjivosti uobičajene Microsoft i Exposures CVE-2018-8652.
Rješenje
Preuzimanje informacija o
Paketi za Windows Azure paket ažuriranja dostupnih Microsoft Update ili ručno preuzimanje.
Microsoft Update
Sigurnosno ažuriranje je dostupan putem servisa Windows Update. Kada uključite automatsko ažuriranje, sigurnosno ažuriranje će se automatski preuzeti i instalirati. Dodatne informacije o tome kako automatski dobiti sigurnosna ažuriranja potražite Windows Update: najčešća pitanja vezana uz.
Ručno preuzimanje paketa ažuriranja
Posjetite sljedeće web-mjesto ručno preuzeti paket sigurnosnog ažuriranja s Microsoft Update Catalog:
Odmah preuzmite paket Windows Azure paket sigurnosnog ažuriranja.
Informacije o instalaciji
Ove upute za instalaciju su za sljedeće komponente Windows Azure paket:
-
Web-mjesta klijentske
-
Klijentske API
-
Klijentske javne API
-
Web-mjesto administracije
-
Administracija API
-
Provjera autentičnosti
-
Windows provjera autentičnosti
-
Upotreba
-
Nadzor
-
Microsoft SQL
-
MySQL
-
Galerija web aplikacije
-
Konfiguracija web-mjesta
-
Najbolji postupci za analizu
-
PowerShell API
Da biste instalirali ažuriranje .msi datoteka za svaku komponentu Windows Azure Service Pack, slijedite ove korake:
-
Ako je sustav trenutno operativne raspored (rukovanja kupca promet), isključiti Azure poslužiteljima. Paket Windows Azure trenutno ne podržava vraćanje nadogradnje.
-
Zaustavljanje ili preusmjeravanje prometa kupca alternativni web-mjesta koja smatrate zadovoljavajući.
-
Stvaranje sigurnosne kopije računala. Bilješke
-
Ako koristite virtualnih računala, poduzmite snimaka trenutnom stanju.
-
Ako ne koristite virtualnih računala, sigurnosnu kopiju svaki MgmtSvc-* mapu u direktoriju Inetpub na svakom računalu koje ima instaliranu komponentu WAP.
-
Prikupite informacije i datoteke koje su vezane uz vaše potvrde, zaglavlja glavnog računala i sve promjene priključak.
-
-
Ako koristite vlastite teme za web-mjesto Windows Azure Service Pack klijentske pogledajte kako održati Windows Azure Service Pack temu nakon nadogradnje Microsoft prije pokretanja ažuriranje.
-
Instalirajte ažuriranje pokretanjem svaki .msi datoteku na računalu na kojem je pokrenut odgovarajuće komponente. MgmtSvc AdminAPI.msi, na primjer, pokrenuti na računalu na kojem se izvodi "MgmtSvc AdminAPI" web-mjesto u IIS.
-
Za svaki čvor je pod opterećenja Pokreni ažuriranja za komponente sljedećim redoslijedom:
-
Ako koristite izvorne samopotpisane potvrde koje je instalirao WAP operacija ažuriranja će ih zamijeniti. Imate novi certifikat za izvoz i uvoz ostale čvorove koje su pod opterećenja. Te certifikate imate u CN = MgmtSvc-* (samopotpisani) obrazac imenovanja.
-
Prema potrebi ažurirati resursa davatelja (RP-a) usluge (SQL Server, SQL Moje, SPF VMM, web-mjesta). I provjerite izvode RP-a web-mjesta.
-
Ažuriranje web-mjesta klijentske API, javni klijentske API, Administrator API čvorove i Administrator i klijentske provjere autentičnosti web-mjesta.
-
Ažuriranje web-mjesta klijentske i administratora.
Skripte nabaviti verzije baze podataka i ažuriranje baze podataka instaliranih MgmtSvc PowerShellAPI.msi pohranjuju se na sljedećem mjestu:
C:\Program Files\Management Service\MgmtSvc-PowerShellAPI\Samples\Database Ako se ažuriraju sve komponente i funkcionira prema očekivanjima, promet možete otvoriti ažurirani čvorovima. U suprotnom, u odjeljku "Vraćanje upute". Napomena Ako ste ažuriranja iz update rollup koji je jednak ili raniji od 5 Kumulativno ažuriranje za paket Windows Azure slijedite ove upute za ažuriranje baze podataka WAP.
-
Ako se pojavi problem i odrediti je li potrebno vraćanje, slijedite ove korake:
-
Ako su dostupni kao što je opisano u drugu bilješku u koraku 3 odjeljka "Upute za instalaciju" snimke, primijeniti snimki. Ako nema snimke, idite na sljedeći korak.
-
Koristite sigurnosnu kopiju koja je snimljena kao što je opisano u prvo i treće bilješke u koraku 3 odjeljka "Upute za instalaciju" Vraćanje baze podataka i računala. Napomena Sustav ne ostavite u djelomično ažurirani stanju. Izvođenje operacija vraćanje na svim računalima na kojima je instaliran paket Windows Azure, čak i ako nije uspjelo ažuriranje na samo jedan čvor. Preporučujemo pokretanje alata Windows Azure Service Pack najbolje vježbe za analizu svake čvoru paket Windows Azure provjerite jesu li ispravni konfiguracije stavke.
-
Otvorite promet vraćene čvorova.