Rezumat
Există o vulnerabilitate de creștere a privilegiilor atunci când biblioteca Azure Active Directory Passport (Passport-Azure-AD pentru Node.js) validează incorect simbolurile ID.
Un atacator care exploatează cu succes această vulnerabilitate ar putea ocoli autentificarea Azure Active Directory către o aplicație web gazdă vizată. Pentru a exploata această vulnerabilitate, un atacator ar trebui să trimită un token special creat către aplicația web țintă, care conține revendicările de identitate ale unui utilizator valid. Această actualizare tratează vulnerabilitatea, prin corectarea modului în care sunt validate simbolurile ID atunci când strategiile Passport profită de Azure Active Directory.
Întrebări frecvente despre această vulnerabilitate
Întrebarea 1: Utilizez Azure Active Directory. Sunt afectat?
R1: Această vulnerabilitate afectează doar aplicațiile web care utilizează biblioteca Passport-Azure-AD pentru Node.js pentru a beneficia de Azure AD pentru autentificare. Standard Azure AD autentificare care nu utilizează Passport-Azure-AD pentru biblioteca Node.js nu este afectată. Vulnerabilitatea există în aplicațiile web care utilizează versiuni învechite ale bibliotecii Passport-Azure-AD pentru Node.js.
Întrebarea 2: Ce este Passport-Azure-AD pentru Node.js?
R2: Passport-Azure-AD pentru Node.js este o colecție de strategii Passport care vă ajută să integrați aplicațiile nod cu Azure Active Directory. Include autentificarea și autorizarea OpenID Connect, WS-Federation și SAML-P. Acești furnizori vă permit să utilizați numeroasele caracteristici din Passport-Azure-AD pentru Node.js, inclusiv sign-on unic web (WebSSO), Endpoint Protection cu OAuth și emiterea și validarea de tokenuri JWT.
Actualizați informațiile
Dezvoltatorii care utilizează biblioteca Passport Azure AD Node.js trebuie să descarce cea mai recentă versiune a bibliotecii Passport-Azure-AD pentru Node.js, apoi să-și actualizeze aplicațiile. Detaliile tehnice sunt publicate în depozitul nostru GitHub.
Dezvoltatori care utilizează versiunea 1. X trebuie să fie actualizat la versiunea 1.4.6.
Dezvoltatorii care utilizează versiunea 2.0 trebuie să actualizeze la versiunea 2.0.1.
Stare
Microsoft a confirmat că aceasta este o problemă în biblioteca Passport-Azure-AD pentru Node.js.
Referințe
Număr CVE: 2016-7191
Aflați despre terminologia pe care o utilizează Microsoft pentru a descrie actualizările de software.