L'aggiornamento descritto in questo articolo è stato sostituito da un rollup di aggiornamento più recente. Si consiglia di installare l'aggiornamento più recente. Per ulteriori informazioni, fare clic sul seguente numero di articolo per visualizzare l'articolo della Microsoft Knowledge Base:
3158609 l'aggiornamento cumulativo 10 per Windows Azure Pack
Riepilogo
In questo articolo vengono descritti i problemi di protezione risolti nell'aggiornamento cumulativo 9.1 per Service Pack di Windows Azure (versione 3.32.8196.12). Contiene inoltre le istruzioni di installazione per il totale complessivo.
Problemi risolti in questo aggiornamento cumulativo
Problema di vulnerabilità di cross-site scripting ZeroClipboard 1-
Le versioni pre-9.1 di WAP includono una versione di ZeroClipboard (v 1.1.7) soggetti a cross-site scripting (XSS). Aggiornamento cumulativo della protezione 9.1 per WAP include aggiornato ZeroClipboard versione 1.3.5, che risolve questa vulnerabilità. È possibile trovare i relativi dettagli qui.
Impatto ZeroClipboard trovato nei portali dei Admin e Tenant e nel servizio di autenticazione Tenant. Questa vulnerabilità può essere sfruttata in tutti questi servizi. Un provider di servizi in genere manterrà il portale di amministrazione accessibile dai locatari, ma il portale Tenant il servizio di autenticazione Tenant sono in genere disponibili e ai proprietari. Si tenga presente che il servizio di autenticazione Tenant non è supportato nelle distribuzioni di produzione. Se l'attacco ha esito positivo, dell'avversario può eseguire tutto ciò che un amministratore WAP o un utente tenant potrà eseguire nell'applicazione. L'avversario anche basarsi il bug e attaccare il browser o una workstation della vittima, o crei o accedere alle risorse tenant (ad esempio macchine virtuali o di SQL Server). Poiché il server di autenticazione federata è inoltre vulnerabile, altre opzioni di attacco possono essere disponibili anche.
Problema 2 - vulnerabilità nel servizio API pubblica Tenant
Nelle versioni pre-9.1 di WAP, un utente malintenzionato tenant active può caricare un certificato tramite il servizio pubblico Tenant API e associarlo a ID di abbonamento. dell'inquilino una destinazione In questo modo l'utente malintenzionato di accedere alle risorse di tenant di destinazione. Aggiornamento cumulativo 9.1 blocchi un attacco.
Impatto Un avversario ciò consente di accedere a quest'ultimo WAP servizio API pubblica. Tuttavia, a tale scopo, l'utente malintenzionato deve conoscere il subscriptionId della vittima. Non vi è almeno uno dei possibili scenari per un avversario di accedere al subscriptionId. L'applicazione consente agli amministratori di creare co-amministratori. Quando un utente accede come co-admin, essi conoscere il subscriptionId. Se viene rimosso il co-admin, possono eseguire l'attacco.
Le istruzioni di installazione disponibili per i seguenti componenti di Windows Azure Pack:
-
Sito tenant
-
API tenant
-
API pubblica tenant
-
Sito di amministrazione
-
API di amministrazione
-
Autenticazione
-
Autenticazione di Windows
-
Utilizzo
-
Monitoraggio
-
Microsoft SQL
-
MySQL
-
Raccolta di applicazioni Web
-
Sito di configurazione
-
Best Practices Analyzer
-
PowerShell API
Per installare i file MSI di aggiornamento per ogni componente del Service Pack di Windows Azure (WAP), attenersi alla seguente procedura:
-
Se il sistema operativo pianificazione (gestione traffico dei clienti), i tempi di inattività dei server Pack Azure. Il Service Pack di Windows Azure, attualmente non supporta gli aggiornamenti in sequenza.
-
Interrompere o reindirizzare il traffico di clienti ai siti che si considera soddisfacente.
-
Creare immagini di backup dei server web e i database di SQL Server.
Note-
Se si utilizzano le macchine virtuali, eseguire snapshot dello stato corrente.
-
Se non si utilizzano le macchine virtuali, eseguire un backup di ogni MgmtSvc-* cartella della directory Inetpub su ogni computer in cui è installato un componente WAP.
-
Raccogliere informazioni e file correlati per i certificati, le intestazioni host e le modifiche di porta.
-
-
Se si utilizza un tema per il sito di Windows Azure Pack Tenant, seguire queste istruzioni per conservare le modifiche del tema prima di eseguire l'aggiornamento.
-
Eseguire l'aggiornamento mediante l'esecuzione di ogni file MSI sul computer in cui viene eseguito il componente corrispondente. Ad esempio, è possibile eseguire il MgmtSvc-AdminAPI.msi sul computer che esegue Internet Information Services (IIS) del sito "MgmtSvc-AdminAPI".
-
Per ogni nodo sotto il bilanciamento del carico, eseguire gli aggiornamenti per i componenti nell'ordine seguente:
-
Se si utilizza i certificati autofirmati originali installati da WAP, l'operazione di aggiornamento li sostituisce. È necessario il nuovo certificato di esportazione e importazione per gli altri nodi con bilanciamento del carico. Questi certificati hanno un CN = MgmtSvc-* modello di denominazione (firmato).
-
Aggiorna i servizi di Provider di risorse (RP) (SQL Server, My SQL, SPF/VMM, siti Web) in base alle esigenze. Assicurarsi che i siti RP siano in esecuzione.
-
Aggiornare il sito Tenant API, API Tenant pubblica, nodi di API di amministrazione e amministratore e Tenant siti di autenticazione.
-
Aggiornare i siti di amministratore e Tenant.
-
-
Script per ottenere le versioni di database e aggiornare i database installati per la MgmtSvc-PowerShellAPI.msi sono memorizzati nel seguente percorso:
C:\Program Files\Management Service\MgmtSvc-PowerShellAPI\Samples\Database
-
Se tutti i componenti sono aggiornati e funzionino come previsto, è possibile aprire il traffico ai nodi aggiornati. In caso contrario, vedere la sezione "istruzioni di Rollback".
Nota: Se si sta aggiornando un aggiornamento cumulativo è uguale o precedente aggiornamento cumulativo 5 per Service Pack di Windows Azure, seguire queste istruzioni per aggiornare il database WAP.
Se si verifica un problema e verificare che è necessario eseguire un rollback, attenersi alla seguente procedura:
-
Se gli snapshot sono disponibili dalla seconda nota nel passaggio 3 nella sezione "istruzioni per l'installazione", si applicano le istantanee. Se sono presenti Nessuno snapshot, andare al passaggio successivo.
-
Utilizzare la copia di backup eseguita nella prima e terza nota nel passaggio 3 nella sezione "istruzioni per l'installazione" per ripristinare i database e i computer.
Nota: Non lasciare il sistema in uno stato parzialmente aggiornato. Eseguire le operazioni di rollback su tutti i computer su cui è stato installato Service Pack di Windows Azure, anche se l'aggiornamento non riuscito su un nodo.
Consigliato Eseguire Windows Azure Pack Best Practice Analyzer su ciascun nodo del Service Pack di Windows Azure per assicurarsi che gli elementi di configurazione siano corretti. -
Aprire il traffico ai nodi ripristinati.
Istruzioni di downloadPacchetti di aggiornamento per Windows Azure Pack sono disponibili da Microsoft Update o tramite download manuale.
Microsoft UpdateCome ottenere e installare un pacchetto di aggiornamento da Microsoft Update, attenersi alla seguente procedura su un computer in cui è installato un componente applicabile:
-
Fare clic su Start e quindi fare clic su Pannello di controllo.
-
Nel Pannello di controllo fare doppio clic su Windows Update.
-
Nella finestra Windows Update, fare clic su Verificare in linea per gli aggiornamenti da Microsoft Update.
-
Fare clic su aggiornamenti importanti.
-
Selezionare i pacchetti di Rollup di aggiornamento che si desidera installare e quindi fare clic su OK.
-
Selezionare l'installazione degli aggiornamenti per installare i pacchetti di aggiornamento selezionato.
Download manuale dei pacchetti di aggiornamentoVisitare il seguente sito Web per scaricare manualmente i pacchetti di aggiornamento dal catalogo di Microsoft Update:
|
File che sono stati modificati |
Versione |
|---|---|
|
MgmtSvc-SQLServer.msi |
3.32.8196.12 |
|
MgmtSvc-TenantAPI.msi |
3.32.8196.12 |
|
MgmtSvc-TenantPublicAPI.msi |
3.32.8196.12 |
|
MgmtSvc-TenantSite.msi |
3.32.8196.12 |
|
MgmtSvc-Usage.msi |
3.32.8196.12 |
|
MgmtSvc-WebAppGallery.msi |
3.32.8196.12 |
|
MgmtSvc-WindowsAuthSite.msi |
3.32.8196.12 |
|
MgmtSvc-AdminAPI.msi |
3.32.8196.12 |
|
MgmtSvc-AdminSite.msi |
3.32.8196.12 |
|
MgmtSvc-AuthSite.msi |
3.32.8196.12 |
|
MgmtSvc-Bpa.msi |
3.32.8196.12 |
|
MgmtSvc-ConfigSite.msi |
3.32.8196.12 |
|
MgmtSvc-Monitoring.msi |
3.32.8196.12 |
|
MgmtSvc-MySQL.msi |
3.32.8196.12 |
|
MgmtSvc-PowerShellAPI.msi |
3.32.8196.12 |
