Santrauka
Į didesnių teisių pažeidžiamumas yra kai Azure Active Directory Passport biblioteka (Passport-Azure-reklamos Node.js) neteisingai patikrina ID atpažinimo ženklai.
Pažeidėjas, sėkmingai naudoja šį pažeidžiamumą galėtų apeiti Azure Active Directory autentifikavimo ir paskirties pagrindinio kompiuterio žiniatinklio taikomąją programą. Norėdami naudoti šį pažeidžiamumą, pažeidėjas turi siųsti specialiai sukurtas atpažinimo ženklas paskirties žiniatinklio programą, kuriame yra netinkamas vartotojo tapatybės reikalavimus. Šis naujinimas skirtas pažeidžiamumas pataisydami kaip ID atpažinimo ženklai patikrinama, ar kai Passport strategijas pasinaudoti Azure Active Directory.
Dažnai užduodami klausimai apie šį pažeidžiamumą
Q1: Naudojant Azure Active Directory. Tai turi įtakos man?
A1: Šį pažeidžiamumą turi įtakos tik pasinaudoti Node.js bibliotekos Passport Azure AD Azure AD autentifikavimo žiniatinklio taikomosios programos. Standartinė Azure AD autentifikavimas, kurioje nėra Passport-Azure AD Node.js bibliotekos neturi įtakos. Pažeidžiamumas yra žiniatinklio programomis, kurios naudoja pasenusios versijos Passport-Azure AD Node.js bibliotekos.
Q2: Kas yra Passport Azure AD Node.js?
A2: Paso Azure AD Node.js yra rinkinys Passport strategijų, kurios padeda integruoti programėlių mazgą su Azure Active Directory. Ji apima OpenID prisijungti, WS-federacija, ir SAML P autentifikavimas ir autorizavimas. Šie teikėjai suteikia galimybę naudoti daugelis funkcijų Passport-Azure AD Node.js, įskaitant interneto bendrosios autentifikacijos (WebSSO), Endpoint Protection su OAuth, ir JWT atpažinimo ženklų išdavimas ir patvirtinimas.
Informacija apie atnaujinimą
Programų kūrėjams, kurie naudoti Passport Azure AD Node.js biblioteką atsisiųsti naujausią Node.js bibliotekos Passport Azure AD, ir tada atnaujinti savo programas. Techninė informacija skelbiami mūsų GitHub saugykloje.
Programų kūrėjams, kurie naudoja 1 versija. x atnaujinti versiją 1.4.6.
Programų kūrėjams, kurie naudoja versija 2.0 versija 2.0.1 atnaujinti.
Būsena
"Microsoft" patvirtino, kad tai yra problema Node.js bibliotekos Passport Azure AD.
Nuorodos
CVE numeris: 2016-7191
Sužinokite daugiau apie terminologiją , kurią "Microsoft" naudoja programinės įrangos naujinimams apibūdinti.
