Passport-Azure-AD for Node.js 库安全更新程序

概要
当 Azure Active Directory Passport 库 (Passport-Azure-AD for Node.js) 错误地验证 ID 令牌时存在特权提升漏洞。

成功利用此漏洞的攻击者可以绕过 Azure Active Directory 身份验证到目标主机 Web 应用程序。若要利用此漏洞,攻击者可能要向包含有效用户标识声明的目标 Web 应用程序发送经特殊设计的令牌。此更新程序通过更正 Passport 策略利用 Azure Active Directory 时验证 ID 令牌的方式来修复此漏洞。

关于此漏洞的常见问题

问题 1:我使用 Azure Active Directory。我是否受影响?

回答 1:此漏洞仅影响使用 Passport-Azure-AD for Node.js 库来利用 Azure AD 进行身份验证的 Web 应用程序。不使用 Passport-Azure-AD for Node.js 库的标准 Azure AD 身份验证不受影响。使用过期版本的 Passport-Azure-AD for Node.js 库的 Web 应用程序中存在漏洞。

问题 2:Passport-Azure-AD for Node.js 是什么?

回答 2:Passport-Azure-AD for Node.js 是 Passport 策略集合,可帮助你将节点应用程序与 Azure Active Directory 集成。它包括 OpenID Connect、WS-Federation 和 SAML-P 身份验证和授权。这些提供程序允许你使用 Passport-Azure-AD for Node.js 的多个功能,包括 Web 单一登录 (WebSSO)、Endpoint Protection with OAuth 以及 JWT 令牌颁发和验证。

更新信息

使用 Passport Azure AD Node.js 库的开发人员必须下载最新版本的 Passport-Azure-AD for Node.js 库,然后更新其应用程序。技术详细信息发布在 GitHub 存储库中。

使用版本 1.x 的开发人员必须升级到版本 1.4.6。

使用版本 2.0 的开发人员必须升级到版本 2.0.1。

状态
Microsoft 已经确认这是 Passport-Azure-AD for Node.js 库中的一个问题。
参考
了解 Microsoft 用于描述软件更新程序的 术语
属性

文章 ID:3187742 - 上次审阅时间:08/26/2016 11:49:00 - 修订版本: 2.0

Microsoft Azure Active Directory

  • kbsecvulnerability kbsecurity kbsecbulletin kbfix kbexpertiseinter kbbug atdownload KB3187742
反馈