A actualização descrita neste artigo foi substituída por um update rollup mais recente. Recomendamos que instale a actualização mais recente. Para mais informações, clique no número de artigo seguinte para visualizar o artigo na Base de Dados de Conhecimento Microsoft
Pack 3158609 update Rollup 10 para Windows Azure
Sumário
Este artigo descreve os problemas de segurança que são corrigidos no Update Rollup 9.1 para o Windows Azure Pack (versão 3.32.8196.12 do ficheiro). Também contém as instruções de instalação para o conjunto de actualizações.
Problemas corrigidos no conjunto de actualizações
Problema 1 - ZeroClipboard vulnerabilidade de processamento de scripts entre sites
As versões de pré-9.1 do WAP incluem uma versão do ZeroClipboard (v 1.1.7) que é vulnerável a execução de scripts entre sites (XSS). Conjunto de actualizações de segurança 9.1 para WAP inclui actualizado ZeroClipboard versão 1.3.5, que resolve esta vulnerabilidade. Pode encontrar detalhes sobre a mesma aqui.
Impacto ZeroClipboard encontra-se os portais de administração e residentes e, o serviço de autenticação de Tenants. Esta vulnerabilidade pode ser explorada em todos estes serviços. Um fornecedor de serviços será normalmente manter portal Admin do inacessíveis por inquilinos, mas o portal de residentes e o serviço de autenticação de Tenants são normalmente disponibilizados a arrendatários. Tenha em atenção de que o serviço de autenticação de Tenants não é suportado em implementações de produção. Se um ataque tiver êxito, pode executar o adversary tudo o que um administrador de WAP ou utilizador tenant pode executar a aplicação. O adversary pode também criar este erro e atacar o browser ou estação de trabalho da vítima, ou criar ou aceder a recursos de Tenants (como máquinas virtuais ou do SQL Server). Uma vez que o servidor de autenticação federada também é vulnerável, outras opções de ataque podem também estar disponíveis.
2 - vulnerabilidade no serviço de Tenants API pública do problema
Nas versões anteriores ao 9.1 do WAP, um intruso de Tenants active pode carregar um certificado através do serviço de API pública do arrendatário e associá-la com ID de subscrição de. um inquilino de destino Isto permite que o intruso obter acesso aos recursos de Tenants de destino. Update Rollup 9.1 bloqueia um ataque.
Impacto Um adversary pode ser utilizado para aceder o inquilino WAP serviço API pública. No entanto, para tal, o intruso tem de conhecer o subscriptionId da vítima. Não existe, pelo menos, um cenário possível para um adversary obter acesso a subscriptionId. A aplicação permite aos administradores criar co-admins. Quando alguém iniciar sessão no como co-administrador, obtêm-se conhecer o subscriptionId. Se este co-administrador mais tarde for removido, poderem efectuar o ataque.
São estas instruções de instalação para os seguintes componentes do Windows Azure Pack:
-
Site de Tenants
-
API de Tenants
-
API pública de Tenants
-
Site de administração
-
API de administração
-
Autenticação
-
Autenticação do Windows
-
Utilização
-
Monitorização
-
Microsoft SQL
-
MySQL
-
Galeria de aplicação da Web
-
Site de configuração
-
Analisador de melhores práticas
-
PowerShell API
Para instalar os ficheiros. msi de actualização para cada componente do Windows Azure Pack (WAP), siga estes passos:
-
Se o sistema estiver actualmente operacional agenda (processamento de tráfego de cliente), período de inactividade para os servidores de Azure Pack. O pacote do Windows Azure actualmente não suportam actualizações graduais.
-
Parar ou redireccionar tráfego do cliente para sites que considera satisfatório.
-
Crie imagens de cópia de segurança de servidores web e as bases de dados do SQL Server.
Notas-
Se estiver a utilizar máquinas virtuais, tirar instantâneos do respectivo estado actual.
-
Se não estiver a utilizar VMs, efectue uma cópia de segurança de cada MgmtSvc-* pasta no directório Inetpub em cada computador que tenha um componente WAP instalado.
-
Recolha informações e ficheiros que estão relacionados com os certificados, os cabeçalhos de anfitrião e quaisquer alterações de porta.
-
-
Se estiver a utilizar o seu próprio tema do site do Windows Azure Pack inquilino, siga estas instruções para preservar as alterações de tema antes de executar a actualização.
-
Execute a actualização através da execução de cada ficheiro. msi no computador em que o componente correspondente está em execução. Por exemplo, execute o AdminAPI.msi de MgmtSvc no computador que executa o site de "MgmtSvc-AdminAPI" no Internet Information Services (IIS).
-
Para cada nó em balanceamento de carga, execute as actualizações para componentes pela seguinte ordem:
-
Se estiver a utilizar certificados auto-assinados originais que são instalados por WAP, a operação de actualização substitui-los. Tem do novo certificado de exportação e importação para os outros nós com balanceamento de carga. Estes certificados têm um CN = MgmtSvc-* padrão de nomenclatura (auto-assinado).
-
Actualização dos serviços de fornecedor de recursos (RP) (SQL Server, SQL meu, SPF/VMM, Web sites) conforme necessário. Certifique-se de que os sites RP estão em execução.
-
Actualize o site de API de Tenants, API pública do locatário, nós de API de administrador e administrador e Tenant sites de autenticação.
-
Actualize os sites de administrador e de Tenants.
-
-
A obter a versão de base de dados e actualizar bases de dados instaladas por MgmtSvc-PowerShellAPI.msi de scripts são armazenados na seguinte localização:
C:\Program Files\Management Service\MgmtSvc-PowerShellAPI\Samples\Database
-
Se todos os componentes estão actualizados e a funcionar conforme esperado, pode abrir o tráfego para os nós actualizados. Caso contrário, consulte a secção "instruções de anulação".
Nota Se estiver a actualizar a partir de um update rollup que seja igual ou mais antigos do que o Update Rollup 5 para Windows Azure Pack, siga estas instruções para actualizar a base de dados WAP.
Se ocorre um problema e verificar o que é necessária efectuar uma reversão, siga estes passos:
-
Se os instantâneos estão disponíveis a partir da segunda nota no passo 3 na secção "instruções de instalação", aplicam-se os instantâneos. Se não existir nenhum instantâneos, vá para o passo seguinte.
-
Utilize a cópia de segurança que foram tomada na primeira e terceira nota no passo 3 na secção "instruções de instalação" para restaurar as bases de dados e os computadores.
Nota Não deixe o sistema num Estado parcialmente actualizado. Efectue operações de anulação em todos os computadores com o Windows Azure Pack foi instalado, mesmo se a actualização falhou num nó.
Recomendado Execute o analisador de prática melhor do Windows Azure Pack em cada nó do Windows Azure Pack para se certificar de que os itens de configuração estão correctos. -
Abra o tráfego para os nós de restaurado.
Instruções de transferênciaPacotes de actualização para Windows Azure Pack estão disponíveis no Microsoft Update ou por transferência manual.
Microsoft UpdatePara obter e instalar um pacote de actualização do Microsoft Update, siga estes passos num computador que tenha um componente aplicável instalado:
-
Clique em Iniciar e, em seguida, clique em Painel de Controlo.
-
No painel de controlo, faça duplo clique sobre o Windows Update.
-
Na janela do Windows Update, clique em Verificar Online para actualizações do Microsoft Update.
-
Clique em actualizações importantes estão disponíveis.
-
Seleccione os pacotes de Update Rollup que pretende instalar e, em seguida, clique em OK.
-
Seleccione a opção instalar actualizações para instalar os pacotes de actualização seleccionada.
Transferência manual dos pacotes de actualizaçãoVá para o seguinte Web site para transferir manualmente os pacotes de actualização do catálogo do Microsoft Update:
|
Ficheiros que são alterados |
Versão |
|---|---|
|
MgmtSvc-SQLServer.msi |
3.32.8196.12 |
|
MgmtSvc-TenantAPI.msi |
3.32.8196.12 |
|
MgmtSvc-TenantPublicAPI.msi |
3.32.8196.12 |
|
MgmtSvc-TenantSite.msi |
3.32.8196.12 |
|
MgmtSvc-Usage.msi |
3.32.8196.12 |
|
MgmtSvc-WebAppGallery.msi |
3.32.8196.12 |
|
MgmtSvc-WindowsAuthSite.msi |
3.32.8196.12 |
|
MgmtSvc-AdminAPI.msi |
3.32.8196.12 |
|
MgmtSvc-AdminSite.msi |
3.32.8196.12 |
|
MgmtSvc-AuthSite.msi |
3.32.8196.12 |
|
MgmtSvc-Bpa.msi |
3.32.8196.12 |
|
MgmtSvc-ConfigSite.msi |
3.32.8196.12 |
|
MgmtSvc-Monitoring.msi |
3.32.8196.12 |
|
MgmtSvc-MySQL.msi |
3.32.8196.12 |
|
MgmtSvc-PowerShellAPI.msi |
3.32.8196.12 |
