Windows Azure 套件的安全性更新彙總套件 9.1


本文所描述的更新已被一個更新的更新彙總套件取代。我們建議您安裝最新更新。如需詳細資訊,請按一下下面的文件編號,檢視「Microsoft 知識庫」中的文件:
3158609 Windows Azure 套件的更新彙總套件 10

結論

本文章說明 Windows Azure 套件更新彙總套件 9.1 (檔案版本 3.32.8196.12) 所修正的安全性問題。此外,它也包含彙總套件的安裝指示。

此更新彙總套件所修正的問題

問題 1 - ZeroClipboard 跨網站指令碼弱點

WAP 9.1 之前的版本含有容易遭受跨網站指令碼 (XSS) 攻擊的 ZeroClipboard 版本 (v 1.1.7)。WAP 安全性更新彙總套件 9.1 含有更新的 ZeroClipboard 1.3.5 版,該版本解決了這個弱點。您可以在這裡找到詳細資訊。

影響 ZeroClipboard 位於管理入口網站、租用戶入口網站及租用戶驗證服務中。有心人士可以透過前述所有服務利用該弱點。服務提供者通常會禁止租用戶存取管理入口網站,不過租用戶普遍可以取用租用戶入口網站和租用戶驗證服務。請注意,生產環境部署不支援租用戶驗證服務。如果攻擊成功,有心人士將能執行 WAP 管理員或租用戶使用者能在應用程式中執行的所有功能。有心人士還能藉由這個 Bug 來攻擊受害者的瀏覽器或工作站,抑或是建立或存取租用戶資源 (如虛擬機器或 SQL Server)。由於同盟驗證伺服器同樣容易遭受攻擊,因此有心人士也可能使用其他攻擊選項。

問題 2 - 租用戶公用 API 服務弱點

在 WAP 9.1 之前的版本中,活動中的租用戶攻擊者能透過公用租用戶 API 服務上傳憑證,並使其與目標租用戶的訂閱識別碼相關聯。如此一來,攻擊者將能取得目標租用戶資源的存取權限。更新彙總套件 9.1 會封鎖這類攻擊。

影響有心人士能使用這個弱點來存取 WAP 租用戶公用 API 服務。不過,若要得手,攻擊者必須知道受害者的 subscriptionId。讓有心人士取得 subscriptionId 的可能情況至少有一種。應用程式可讓系統管理員建立共同管理員。當有心人士以共同管理員身分登入時,他們將能得知 subscriptionId。如果這個共同管理員太慢遭到移除,他們便可以執行攻擊。
安裝指示
復原指示

下載指示

從 Microsoft Update 或藉由手動下載即可取得 Windows Azure 套件的更新套件。

Microsoft Update

若要從 Microsoft Update 取得並安裝更新套件,請在已安裝適當元件的電腦上執行下列步驟:
  1. 按一下 [開始],然後按一下 [控制台]
  2. 在 [控制台] 中,按兩下 [Windows Update]
  3. 在 [Windows Update] 視窗中,按一下 [線上檢查來自 Microsoft Update 的更新]
  4. 按一下 [有可用的重要更新]
  5. 選取要安裝的 [更新彙總套件] 套件,然後按一下 [確定]
  6. 選取 [安裝更新] 以安裝選取的更新套件。

手動下載更新套件

前往下列網站來從 Microsoft Update Catalog 手動下載更新套件:
此更新彙總套件更新的檔案
內容

文章識別碼:3146301 - 最後檢閱時間:2016年6月27日 - 修訂: 1

意見反應