適用於 Node.js 的 Passport-Azure-AD 程式庫的安全性更新

結論
Azure Active Directory Passport 程式庫 (適用於 Node.js 的 Passport-Azure-AD) 不正確地驗證 ID Token 時,會產生權限提高弱點。

成功入侵此弱點的攻擊者可繞過 Azure Active Directory 驗證,前往目標主機 Web 應用程式。為了入侵此弱點,攻擊者必須將蓄意製作的 Token 傳送至內含有效使用者身分識別宣告的目標 Web 應用程式。本更新藉由修正 Passport 策略使用 Azure Active Directory 時驗證 ID Token 的方式,處理此弱點。

此弱點的相關常見問題集

問 1:我使用 Azure Active Directory。我會受到影響嗎?

答 1:此弱點僅影響透過適用於 Node.js 的 Passport-Azure-AD 程式庫,使用 Azure AD 進行驗證的 Web 應用程式。未使用適用於 Node.js 的 Passport-Azure-AD 程式庫的標準 Azure AD 驗證不會受影響。此弱點存在於使用舊版適用於 Node.js 的 Passport-Azure-AD 程式庫的 Web 應用程式中。

問 2:什麼是適用於 Node.js 的 Passport-Azure-AD?

答 2:適用於 Node.js 的 Passport-Azure-AD 是 Passport 策略集,可協助您整合節點應用程式與 Azure Active Directory。其包含 OpenID Connect、WS-Federation,以及 SAML-P 驗證與授權。這些提供者可讓您使用許多適用於 Node.js 的 Passport-Azure-AD 功能,包括網頁單一登入 (WebSSO)、使用 OAuth 的 Endpoint Protection,以及 JWT Token 發行與驗證。

更新資訊

使用 Passport Azure AD Node.js 程式庫的開發人員必須下載適用於 Node.js 的 Passport-Azure-AD 程式庫最新版本,並更新其應用程式。技術詳細資訊已發佈於我們的 GitHub 存放庫

使用 1.x 版的開發人員必須更新至 1.4.6 版。

使用 2.0 版的開發人員必須更新至 2.0.1 版。

狀況說明
Microsoft 已確認適用於 Node.js 的 Passport-Azure-AD 程式庫確實有上述問題。
参考
了解 術語 。Microsoft 會使用這些術語來說明軟體更新內容。
內容

文章識別碼:3187742 - 最後檢閱時間:08/26/2016 11:50:00 - 修訂: 2.0

Microsoft Azure Active Directory

  • kbsecvulnerability kbsecurity kbsecbulletin kbfix kbexpertiseinter kbbug atdownload KB3187742
意見反應