Microsoft Team Foundation Server/Azure DevOps Serverのセキュリティ更新プログラム（2019年4月）

high Nessus プラグイン ID 123953

Language:

概要

リモートホストにインストールされているMicrosoft Team Foundation ServerまたはAzure DevOps Serverは次の影響を受けます。

説明

リモートホストにインストールされているMicrosoft Team Foundation ServerまたはAzure DevOps Serverにセキュリティ更新プログラムがありません。したがって、複数の脆弱性の影響を受けます。- Azure DevOps Server 2019がプロジェクトのアクセス許可を適切に実施しないとき、権限昇格の脆弱性があります。この脆弱性を悪用した攻撃者が、自分のアカウントに適切なアクセス権がないにもかかわらずGitHubリポジトリをプロジェクトに追加する可能性があります。（CVE-2019-0875）- Team Foundation Serverがユーザー指定の入力を適切にサニタイズしないとき、セキュリティ機能をバイパスされる可能性のあるなりすましの脆弱性があります。この脆弱性を悪用した攻撃者が、ユーザーを誘導して悪意のあるコンテンツが含まれるページを読み込ませる可能性があります。認証された攻撃者が、特別に細工されたペイロードをTeam Foundation Serverに送信して、この脆弱性を悪用する可能性があります。これは侵害されたページにユーザーがアクセスするたびにユーザーのコンテキストで実行されます。（CVE-2019-0857）- Microsoft Team Foundation ServerがWebリクエストを適切に処理しないとき、なりすましの脆弱性がMicrosoft Team Foundation Serverにあります。脆弱性の悪用に成功した攻撃者が、スクリプトまたはコンテンツインジェクション攻撃を仕掛け、秘密情報を漏えいするようにユーザーを誘導する可能性があります。また、攻撃者がコンテンツを偽装する悪意のあるWebサイトにユーザーをリダイレクトしたり、脆弱性を悪用してWebサービスの他の脆弱性と攻撃を連鎖させたりする可能性があります。（CVE-2019-0869）- Team Foundation Serverがユーザーの入力を適切にサニタイズしないとき、クロスサイトスクリプティング（XSS）の脆弱性があります。認証された攻撃者が、特別に細工されたペイロードをTeam Foundation Serverに送信して、この脆弱性を悪用する可能性があります。これは侵害されたページにユーザーがアクセスするたびにユーザーのコンテキストで実行されます。この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムにクロスサイトスクリプティング攻撃を仕掛け、現在のユーザーのセキュリティコンテキストでスクリプトを実行する可能性があります。この攻撃によって、攻撃者が読み取りを許可されていないコンテンツを読み取ったり、悪意のあるコードを実行したり、被害者の身分情報を利用し被害者になりすましてアクセス許可の変更やコンテンツの削除などを実行したりする可能性があります。このセキュリティ更新プログラムは、Team Foundation Serverがユーザー入力を確実にサニタイズすることにより、この脆弱性に対応します。（CVE-2019-0866、CVE-2019-0867、CVE-2019-0868、CVE-2019-0870、CVE-2019-0871、CVE-2019-0874）

ソリューション

Microsoftはこの問題に対処するために、以下のセキュリティ更新プログラムをリリースしています。- Team Foundation Server 2015 Update 4.1 - Team Foundation Server 2017 Update 3.1 w/パッチ- Team Foundation Server 2018 Update 1.2 w/パッチ- Team Foundation Server 2018 Update 3.2 w/パッチ- Azure DevOps Server 2019 RTW w/パッチ。適用するバージョンとパッチを決定するにはベンダーからのガイダンスを参照してください。