Simptomi
Postoji sigurnost ranjivost u Update Rollup 13 za Windows Azure Pack (WAP) koja uzrokuje skriptu injekciju od određene simbole da biste preskočili portala ograničenja korisničkog Interfejsa. Portal UI ograničava određene simbole kao što su veće od (<) i manje od (>) simbole koji su potrebni za injekciju „< script >”.
Od strane ponavljam poziv za u violinista, niske koje sadrže znakove kao što su < i > se mogu slati kao ime pretplate. SubscriptionName polje može biti postavljeno na bilo koju nisku do 128 znakova. U ovom scenariju, možete Učitavanje i pokretanje raznih skripti kao što < script src = „https://code.jquery.com/jquery-1.10.2.min.js” > ili alert(document.cookie) < script > < / script >.
Da biste saznali više o ovoj ranjivosti, pogledajte Microsoft uobičajene ranjivosti i izloženošću CVE-2018-8652.
Rešenje
Informacije o preuzimanju
Pakete ispravki za Windows Azure paketa su dostupne sa Microsoft Update ili ručno preuzimanje.
Microsoft Update
Ova bezbednosna ispravka je dostupna kroz Windows Update. Kada uključite automatsko ažuriranje, ove bezbednosne ispravke će preuzeti i instalirati automatski. Za više informacija o tome kako da automatski dobije sigurnosna ažuriranja, pogledajte Windows Update: FAQ.
Ručno preuzimanje servisnog paketa
Idite na sledeću Web lokaciju za ručno preuzimanje bezbednosna ispravka paket iz Microsoft Update Catalog:
Odmah preuzmite paket za ažuriranje Windows Azure paket bezbednosti.
Informacije o instalaciji
Ova instalacija uputstva su za sledeće komponente Windows Azure paket:
-
Stanar lokacije
-
Stanar API
-
Stanar javni API
-
Administracija lokacije
-
Administracija API
-
Potvrda identiteta
-
Windows potvrda identiteta
-
Upotreba
-
Nadgledanje
-
Microsoft SQL
-
MySQL
-
Galerija Web aplikacije
-
Konfiguracija lokacije
-
Najbolje prakse analizator
-
PowerShell API
Da biste instalirali ažuriranje .msi datoteke za svaku komponentu Windows Azure paketa, slijedite ove korake:
-
Ako je sistem trenutno operativne (rukovanja promet kupaca), raspored pauze za Azure servere. Windows Azure Pack trenutno ne podržava kotrljanje nadogradnje.
-
Prestani ili preusmeravanje promet kupaca na alternativne lokacije koje smatrate zadovoljavajući.
-
Kreiranje rezervne kopije računara. Napomene
-
Ako koristite virtuelne mašine, slikaju trenutnom stanju.
-
Ako ne koristite virtuelne mašine, rezervne kopije jedni MgmtSvc-* fascikle u katalogu " Inetpub " na svakom računaru koji ima instaliran WAP komponentu.
-
Prikupljanje informacija i datoteka koje su povezane sa certifikatima, domaćin zaglavlja i promene porta.
-
-
Ako koristite sopstvenu temu za lokaciju Windows Azure paketa stanar, pogledajte da istraje Windows Azure paketa temu nakon nadogradnje na Microsoft pre nego što pokrenete ažuriranje.
-
Da instalirate ispravku tako što ćete pokrenuti svaki .msi datoteka na računaru na kojem je pokrenuta odgovarajuća komponenta. Na primer, izvođenja MgmtSvc-AdminAPI.msi na računaru koji je pokrenut na lokaciji „MgmtSvc-AdminAPI” u IIS.
-
Za svaki čvor koji je u okviru opterećenja, pokrenite ažuriranja za komponente na sledeći način:
-
Ako koristite originalni samopotpisani certifikati koji su instalirani pomoću WAP, operaciju ažuriranja će zameniti ih. Morate da izvezete novi certifikat, a da ga uvezete u drugim čvorovima koje su ispod opterećenja. Ovi certifikati su u CN = MgmtSvc-* (samopotpisani) obrazac za imenovanje.
-
Ažuriranje resursa dobavljača (RP) usluge (SQL Server, My SQL, SPF/VMM, Web lokacije) po potrebi. I pobrini se da su pokrenute RP lokacije.
-
Ažuriranje je stanar API lokacije, javni API stanar, Administrator API čvorova i Administrator "i" potvrda identiteta stanar lokacije.
-
Ažuriranje lokacija administratora i stanar.
Skripte da biste nabavili verzije baze podataka i ažuriranje baze podataka koje su instalirani od strane MgmtSvc-PowerShellAPI.msi se skladište na sledećoj lokaciji:
C:\Program Files\Management Service\MgmtSvc-PowerShellAPI\Samples\Database Ako se ažuriraju se sve komponente i funkcioniše kao što je očekivano, možete da otvorite saobraćaj da tvoj ažurirani čvorova. U suprotnom, pogledajte odeljak „Vraćanje uputstva”. Napomena Da li si ažuriranja iz zbirna koja je ista kao ili prethodi ažurirati 5 zbirnih hitnih ispravki za Windows Azure paketa, slijedite ove upute da biste ažurirali bazu podataka WAP.
-
Ako dođe do problema i utvrdite da je vraćanje je neophodno, sledite ove korake:
-
Ako se snimci su dostupni kao što je opisano u druge note u koraku 3 u odeljku „Uputstva za instalaciju”, zatvorite snimaka. Ako nema snimaka, pređite na sledeći korak.
-
Koristite rezervnu kopiju koju je odveden kao što je opisano u prve i treće note u koraku 3 u odeljku „Uputstva za instalaciju” vraćanje baze podataka i kompjutere. Napomena Ne ostavljaj sistem u stanju delimično ažurirani. Izvršavanje operacija: Vraćanje na svim računarima na kojima Windows Azure paket instaliran, čak i ako ažuriranje nije uspeo na samo jedan čvor. Preporučujemo vam da pokrenete na Windows Azure paketa najbolja praksa analizator na svakom čvoru Windows Azure paket da se uverite da je konfiguracija stavki ispravni.
-
Otvorite saobraćaj u svoje obnovljene čvorova.