Windows Azure Pack 用のセキュリティ更新プログラムのロールアップ 9.1


この資料に記載されていた更新プログラムは、新しい更新プログラムのロールアップに置き換えられています。最新の更新プログラムをインストールすることをおすすめします。詳細については、以下のマイクロソフト サポート技術情報番号をクリックしてください。
3158609 Windows Azure Pack 用の更新プログラムのロールアップ 10

概要

この資料では、Windows Azure Pack 用の更新プログラムのロールアップ 9.1 (ファイル バージョン 3.32.8196.12) で修正される問題について説明します。ロールアップのインストール手順も記載されています。

この更新プログラムのロールアップで修正される問題

問題 1 - ZeroClipboard クロスサイト スクリプティングの脆弱性

バージョン 9.1 以前の WAP には、クロスサイト スクリプティング (XSS) に対して脆弱性を持つバージョンの ZeroClipboard (v 1.1.7) が含まれます。WAP 用のセキュリティ更新プログラムのロールアップ 9.1 には、更新された ZeroClipboard が含まれます。バージョンは 1.3.5 で、この脆弱性を解決します。詳細については、こちらをご覧ください。

影響 ZeroClipboard は管理ポータルとテナント ポータル、さらにはテナント認証サービスにあります。この脆弱性は、これらすべてのサービスで悪用される可能性があります。通常、サービス プロバイダーはテナントから管理ポータルにアクセスできないようにしますが、テナント ポータルとテナント認証サービスはテナントから使用できます。テナント認証サービスは本番環境への導入ではサポートされていないことにご注意ください。攻撃が成功すると、攻撃側は WAP 管理者やテナント ユーザーがアプリケーションで実行可能なすべての機能を実行できるようになります。また、攻撃側はこのバグをベースにして、被害者のブラウザーやワークステーションを攻撃したり、テナント リソース (仮想マシンや SQL Server) を作成したり、アクセスしたりできます。フェデレーション認証サーバーにも同様の脆弱性があるため、他の攻撃方法が利用できるようになる場合もあります。

問題 2 - テナント パブリック API サービスの脆弱性

バージョン 9.1 以前の WAP では、テナントの悪用者がパブリック テナント API を通じて証明書をアップロードし、ターゲットのテナントのサブスクリプション ID にその証明書を関連付けることができます。そうすることで、攻撃者はターゲットのテナント リソースにアクセスできるようになります。更新プログラム ロールアップ 9.1 ではそのような攻撃をブロックします。

影響 攻撃側はこの脆弱性を利用して、WAP テナント パブリック API サービスにアクセスできます。ただし、そのためには、攻撃者が被害者の subscriptionId を知る必要があります。攻撃者側が subscriptionId にアクセスできるようになるシナリオが 1 つ考えられます。アプリケーションは管理者に共同管理者の作成を許可します。共同管理者としてサインインすれば、subscriptionId を取得できます。その後この共同管理者を削除すれば、攻撃を実行できます。
インストール手順
ロールバック手順

ダウンロード手順

Windows Azure Pack の更新パッケージは、Microsoft Update から利用できるほか、手動でダウンロードできます。

Microsoft Update

Microsoft Update から更新プログラム パッケージを入手してインストールするには、適用可能なコンポーネントがインストールされているコンピューター上で以下の手順を実行します。
  1. [スタート] ボタンをクリックして [コントロール パネル]をクリックします。
  2. コントロール パネルで、[Windows Update] をダブルクリックします。
  3. [Windows Update] ウィンドウで、[Microsoft Update からの更新プログラムをオンラインで確認する] をクリックします。
  4. [x 個の重要な更新プログラムが利用可能です] をクリックします。
  5. インストールする [更新プログラムのロールアップ] パッケージを選択し、[OK] をクリックします。
  6. [更新プログラムのインストール] をクリックすると、選択した更新プログラム パッケージがインストールされます。

更新プログラム パッケージの手動ダウンロード

以下の Web サイトにアクセスして、Microsoft Update カタログから更新プログラム パッケージを手動でダウンロードします。
この更新プログラムのロールアップで更新されたファイル
プロパティ

文書番号:3146301 - 最終更新日: 2016/06/27 - リビジョン: 1

フィードバック