概要
Azure Active Directory Passport ライブラリ (Node.js の Passport-Azure-AD) が ID トークンを誤って検証すると、特権の昇格の脆弱性が存在します。
攻撃者がこの脆弱性を悪用した場合、対象のホスト Web アプリケーションAzure Active Directory 認証をバイパスする可能性があります。 この脆弱性を悪用するには、攻撃者は、有効なユーザーの ID 要求を含む、特別に細工されたトークンをターゲット Web アプリケーションに送信する必要があります。 この更新プログラムは、Passport 戦略が Active Directory を利用する際の ID トークンの検証方法Azure修正することで、この脆弱性を解決します。
この脆弱性についてよく寄せられる質問
Q1: Active Directory Azure使用します。 影響を受けるか?
A1: この脆弱性は、認証にAzure AD を利用するために、Node.js ライブラリに Passport-Azure-AD を使用する Web アプリケーションにのみ影響します。 Standard Azure Node.js ライブラリに Passport-Azure-AD を使用しない AD 認証は影響を受けません。 この脆弱性は、古いバージョンの Passport-Azure-AD for Node.js ライブラリを使用する Web アプリケーションに存在します。
Q2: Node.js の Passport-Azure-AD とは
A2: Node.js の Passport-Azure-AD は、ノード アプリケーションを Azure Active Directory と統合するのに役立つ Passport 戦略のコレクションです。 これには、OpenID Connect、WS-Federation、SAML-P の認証と承認が含まれます。 これらのプロバイダーを使用すると、Web シングル サインオン (WebSSO)、Endpoint Protection with OAuth、JWT トークンの発行と検証など、Node.js に Passport-Azure-AD の多くの機能を使用できます。
更新情報
Passport Azure AD Node.js ライブラリを使用する開発者は、Node.js ライブラリ用の Passport-Azure-AD の最新バージョンをダウンロードしてから、アプリケーションを更新する必要があります。 技術的な詳細は、 GitHub リポジトリに公開されています。
バージョン 1 を使用する開発者。x はバージョン 1.4.6 に更新する必要があります。
バージョン 2.0 を使用する開発者は、バージョン 2.0.1 に更新する必要があります。
状態
Microsoft は、これが passport-Azure-AD for Node.js ライブラリの問題であることを確認しました。
参考資料
CVE 番号: 2016-7191
マイクロソフトでソフトウェア更新プログラムの説明に使用する用語集を参照してください。