Šiame straipsnyje aprašomas naujinimas pakeitė naujesnė specifinių naujinimų paketą. Rekomenduojame įdiegti naujausią naujinimą. Norėdami gauti daugiau informacijos, spustelėkite toliau pateiktą straipsnio numerį ir peržiūrėkite „Microsoft Knowledge Base“ žinių bazės straipsnį:
3158609 specifinių naujinimų paketas 10 Windows Azure Pack
Santrauka
Šiame straipsnyje aprašoma saugos problemos, kurios išsprendžiamos specifinių naujinimų paketą 9.1 Windows Azure Pack (failo versija 3.32.8196.12). Jame taip pat yra ir naujinimų paketo diegimo instrukcijos.
Problemos, kurios išsprendžiamos į šį specifinių naujinimų paketą
1 - ZeroClipboard kelių svetainių scenarijų vykdymo pažeidžiamumo problema
Į iš anksto 9.1 WAP versijose ZeroClipboard (v 1.1.7) versiją, kuri pažeidžiama kelių svetainių scenarijų vykdymo (XSS). Saugos naujinimų 9.1 WAP yra atnaujinta ZeroClipboard 1.3.5, versija, kuri išprendžia šią pažeidžiamumo problemą. Informacijos apie tai rasite čia.
Poveikis ZeroClipboard yra administratorius ir nuomotojo portalai ir nuomotojo autentifikavimo tarnyba. Šį pažeidžiamumą, gali būti naudojami visas šias paslaugas. Paslaugų teikėjas paprastai saugo administravimo portalo nuomininkams nepasiekiamas, bet nuomotojų portalas nuomotojo autentifikavimo tarnyba paprastai galima ir nuomininkams. Turėkite omenyje, kad nuomotojo autentifikavimo tarnyba nepalaiko gamybos dislokavimo. Jei pavyko ataka, priešinga šalis galite paleisti viską, kas WAP administratorius ir nuomotojo vartotojas gali paleisti taikomąją programą. Priešinga šalis gali taip pat atsižvelgiant į šią klaidą ir naršyklės arba darbo vietos auka, arba sukurti arba pasiekti nuomotojo išteklių (pvz., virtualiosios mašinos arba SQL serverio). Dėl to, kad išorinis autentifikavimo serverį taip pat yra pažeidžiami, kitokius atakos būdus taip pat gali būti pasiekiama.
2 - nuomotojo viešojo API tarnybos pažeidžiamumas problema
Iš anksto 9.1 versijose WAP, pažeidėjas active nuomotojo galite įkelti naudojant viešųjų nuomotojo API paslaugą sertifikatą ir susieti jį su a target nuomotojo prenumeratos ID. Tai leidžia gauti prieigą prie target nuomotojo išteklių pažeidėjui. Atnaujinti naujinimų 9.1 blokai tokios atakos.
Poveikis Atsako naudoti šį pasiekti WAP nuomotojo viešojo API paslaugą. Tačiau, Norėdami tai padaryti, pažeidėjui turite žinoti subscriptionId auka. Yra bent vienas galimų scenarijų atsako į subscriptionId pasiekti. Programa leidžia administratoriams kurti bendro administratoriai. Kai kas nors prisijungia kaip bendro administratorius, jie Susipažinkite su subscriptionId. Jei vėliau pašalinamas bendro administratorius, jie gali atlikti atakos.
Ši diegimo instrukcija yra Windows Azure Pack komponentų:
-
Nuomotojo svetainė
-
Nuomotojo API
-
Nuomotojo viešojo API
-
Svetainės administravimas
-
Administravimo API
-
Autentifikavimas
-
Windows autentifikavimas
-
Naudojimas
-
Stebėjimas
-
Microsoft SQL
-
MySQL
-
Žiniatinklio programos Galerija
-
Konfigūravimas svetainė
-
Geriausios praktikos analizatorius
-
"PowerShell" API
Norėdami įdiegti naujinimą .msi failų kiekvienam Windows Azure Pack (WAP) komponentui, atlikite šiuos veiksmus:
-
Jei sistema šiuo metu veikia (tvarkyti klientų srautas), grafiko prastovos Azure Pack serverių. Windows Azure Pack šiuo metu nepalaiko sukti naujinius.
-
Stop arba klientų srautas nukreipti į svetaines, jūsų nuomone, yra tinkamos.
-
Sukurti atsarginę vaizdus iš interneto serverių ir SQL serverio duomenų bazės.
Pastabos-
Jei naudojate virtualiosios mašinos, imtis nuotraukas iš jų dabartinę.
-
Jei nenaudojate VM, imtis atsarginę kopiją kiekvieną MgmtSvc-* aplanko Inetpub kataloge kiekviename kompiuteryje, kuris turi WAP komponentas įdiegtas.
-
Rinkti informaciją ir failus, kurie yra susiję su jūsų sertifikatai, pagrindinio kompiuterio antraštės ir pakeitimus prievadą.
-
-
Jei naudojate savo temą Windows Azure Pack nuomotojo svetainės, atlikite veiksmus Norėdami išsaugoti keitimus temą, prieš paleisdami naujinimo.
-
Paleiskite naujinimo veikia kiekvieną .msi failą, kompiuteryje, kuriame veikia atitinkamas komponentas. Pvz., vykdyti MgmtSvc AdminAPI.msi kompiuteryje, kuriame veikia "MgmtSvc-AdminAPI" svetainės, interneto informacijos paslaugos (IIS).
-
Kiekvienas mazgas pagal apkrovos išlyginimą, paleiskite komponentų naujinimų tokia tvarka:
-
Jei naudojate vartotojo pasirašomas sertifikato, įdiegtos naudojant WAP, naujinimo operaciją pakeis juos. Turite naujam sertifikatui eksportuoti ir importuoti į kitus mazgus pagal apkrovos balansavimas. Sertifikatas yra a CN = MgmtSvc-* (vartotojo pasirašomas) vardų suteikimo sintaksė.
-
Prireikus atnaujinkite išteklių teikėjas (RP) paslaugos (SQL Server, My SQL, SPF/VMM, svetainės). Įsitikinkite, kad RP svetainės veikia.
-
Atnaujinti nuomotojo API svetainėje, viešųjų nuomotojo API, administratoriaus API mazgų ir svetainės administratorius ir nuomotojo autentifikavimas.
-
Naujinimo svetainės administratorius ir nuomotojo.
-
-
Scenarijus gauti duomenų bazės versijos ir atnaujinti duomenų bazės įdiegė MgmtSvc PowerShellAPI.msi saugomi šioje vietoje:
C:\Program Files\Management Service\MgmtSvc-PowerShellAPI\Samples\Database
-
Jei visi komponentai yra atnaujintas ir veikia kaip tikėtasi, galite atidaryti srautą į savo atnaujintą mazgų. Kitaip, skaitykite skyrių "Rollback instrukcijos".
Pastaba. Jei naujinate iš specifinių naujinimų paketas, kuris yra lygus arba senesni nei 5 naujinimų Windows Azure Pack, vykdykite šias instrukcijas ir atnaujinkite WAP duomenų bazės.
Jei problema kyla ir galite patikrinti, ar yra ankstesnės reikia, atlikite šiuos veiksmus:
-
Jei nuotraukas galima gauti antrą Pastaba atlikdami 3 skyriuje "diegimo instrukcijas", taikykite momentinės kopijos. Jei nėra nuotraukas, pereikite prie kito veiksmo.
-
Naudodami atsarginės kopijos, buvo priimtas į pirmąjį ir trečiąjį Pastaba skyriuje "diegimo instrukcijos" 3 veiksme atkurti savo duomenų bazių ir kompiuterių.
Pastaba. Ne palikti sistemą iš dalies atnaujintos būsenos. Operacijas atkūrimą visuose kompiuteriuose, kuriame buvo įdiegta Windows Azure Pack, net jei naujinimas nepavyko mazgui.
Rekomenduojama Paleiskite Windows Azure Pack geriausios praktikos analizatorius kiekvieną Windows Azure Pack mazgą, įsitikinkite, kad konfigūracijos elementai yra teisingi. -
Atidarykite srautą į jūsų atkurta mazgų.
Atsisiuntimo instrukcijosWindows Azure Pack, naujinimo paketai yra iš "Microsoft Update" arba rankiniu būdu atsisiųsti.
"Microsoft Update"Norėdami įsigyti ir įdiegti naujinimo paketą iš "Microsoft Update", atlikite šiuos veiksmus kompiuteryje, kuriame yra įdiegtas tinkamas komponentas:
-
Spustelėkite Pradėti, tuomet spustelėkite Valdymo skydas.
-
Valdymo skyde dukart spustelėkite "Windows" naujinimą.
-
"Windows" naujinimo lange spustelėkite Patikrinti tinkle, ar yra naujinimų iš "Microsoft Update".
-
Spustelėkite yra svarbių naujinimų.
-
Pasirinkite Specifinių naujinimų paketus, kuriuos norite įdiegti, ir spustelėkite gerai.
-
Pasirinkite diegti naujinimus diegti atsisiųsto naujinio paketai.
Rankiniu būdu atsisiųsti naujinimų paketusEikite į svetainę rankiniu būdu "Microsoft Update" katalogo atsisiųsti naujinimų paketus:
|
Keičiami failai |
Versija |
|---|---|
|
MgmtSvc-SQLServer.msi |
3.32.8196.12 |
|
MgmtSvc-TenantAPI.msi |
3.32.8196.12 |
|
MgmtSvc-TenantPublicAPI.msi |
3.32.8196.12 |
|
MgmtSvc-TenantSite.msi |
3.32.8196.12 |
|
MgmtSvc-Usage.msi |
3.32.8196.12 |
|
MgmtSvc-WebAppGallery.msi |
3.32.8196.12 |
|
MgmtSvc-WindowsAuthSite.msi |
3.32.8196.12 |
|
MgmtSvc-AdminAPI.msi |
3.32.8196.12 |
|
MgmtSvc-AdminSite.msi |
3.32.8196.12 |
|
MgmtSvc-AuthSite.msi |
3.32.8196.12 |
|
MgmtSvc-Bpa.msi |
3.32.8196.12 |
|
MgmtSvc-ConfigSite.msi |
3.32.8196.12 |
|
MgmtSvc-Monitoring.msi |
3.32.8196.12 |
|
MgmtSvc-MySQL.msi |
3.32.8196.12 |
|
MgmtSvc-PowerShellAPI.msi |
3.32.8196.12 |
