Microsoft Team Foundation Server/Azure DevOps Serverのセキュリティ更新プログラム（2019年5月）

medium Nessus プラグイン ID 125163

Language:

概要

Microsoft Team Foundation ServerまたはAzure DevOps Serverは複数の脆弱性の影響を受けます。

説明

Microsoft Team Foundation Server/Azure DevOps Serverにセキュリティ更新プログラムがありません。したがって、複数の脆弱性の影響を受けます。 - Azure DevOps ServerおよびMicrosoft Team Foundation Serverが、影響を受けるサーバーに対する特別に細工された認証リクエストを適切にサニタイズしないとき、情報漏えいの脆弱性があります。この脆弱性の悪用に成功した攻撃者は、脆弱性のあるサーバーで悪意のあるコードを実行する可能性があります。（CVE-2019-0971）- Azure DevOps ServerおよびTeam Foundation Serverがユーザー指定入力を適切にサニタイズしないとき、クロスサイトスクリプティング（XSS）の脆弱性があります。認証された攻撃者が、特別に細工されたペイロードをAzure DevOps ServerまたはTeam Foundation Serverに送信して、この脆弱性を悪用する可能性があります。これは侵害されたページにユーザーがアクセスするたびにユーザーのコンテキストで実行されます。この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムにクロスサイトスクリプティング攻撃を仕掛け、現在のユーザーのセキュリティコンテキストでスクリプトを実行する可能性があります。この攻撃によって、攻撃者が読み取りを許可されていないコンテンツを読み取ったり、悪意のあるコードを実行したり、被害者の身分情報を利用し被害者になりすましてアクセス許可の変更やコンテンツの削除などを実行したりする可能性があります。このセキュリティ更新プログラムは、Azure DevOps ServerおよびTeam Foundation Serverがユーザー入力を適切にサニタイズできるよう徹底することにより、この脆弱性に対応します。（CVE-2019-0872、CVE-2019-0979）

ソリューション

Microsoftはこれらの問題に対処するために、以下の更新プログラムをリリースしています。- Team Foundation Server 2015 Update 4.2 w/パッチ1 - Team Foundation Server 2017 Update 3.1 w/パッチ5 - Team Foundation Server 2018 Update 1.2 w/パッチ4 - Team Foundation Server 2018 Update 3.2 w/パッチ4 - Azure DevOps Server 2019 RTW w/パッチ2。適用するバージョンとパッチを決定するにはベンダーからのガイダンスを参照してください。