Microsoft Team Foundation Server/Azure DevOps Serverのセキュリティ更新プログラム(2019年5月)

medium Nessus プラグイン ID 125163
New! プラグインの深刻度には CVSS v3 が適用されるようになりました。

プラグインの深刻度は、デフォルトで CVSS v3 を使って計算されるように更新されました。プラグインに CVSS v3 スコアがない場合には、CVSS v2 を使って深刻度が計算されます。深刻度の表示設定は、[設定]のドロップダウンで切り替えができます。

概要

Microsoft Team Foundation ServerまたはAzure DevOps Serverは複数の脆弱性の影響を受けます。

説明

Microsoft Team Foundation Server/Azure DevOps Serverにセキュリティ更新プログラムがありません。したがって、複数の脆弱性の影響を受けます。 - Azure DevOps ServerおよびMicrosoft Team Foundation Serverが、影響を受けるサーバーに対する特別に細工された認証リクエストを適切にサニタイズしないとき、情報漏えいの脆弱性があります。この脆弱性の悪用に成功した攻撃者は、脆弱性のあるサーバーで悪意のあるコードを実行する可能性があります。(CVE-2019-0971)- Azure DevOps ServerおよびTeam Foundation Serverがユーザー指定入力を適切にサニタイズしないとき、クロスサイトスクリプティング(XSS)の脆弱性があります。認証された攻撃者が、特別に細工されたペイロードをAzure DevOps ServerまたはTeam Foundation Serverに送信して、この脆弱性を悪用する可能性があります。これは侵害されたページにユーザーがアクセスするたびにユーザーのコンテキストで実行されます。この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムにクロスサイトスクリプティング攻撃を仕掛け、現在のユーザーのセキュリティコンテキストでスクリプトを実行する可能性があります。この攻撃によって、攻撃者が読み取りを許可されていないコンテンツを読み取ったり、悪意のあるコードを実行したり、被害者の身分情報を利用し被害者になりすましてアクセス許可の変更やコンテンツの削除などを実行したりする可能性があります。このセキュリティ更新プログラムは、Azure DevOps ServerおよびTeam Foundation Serverがユーザー入力を適切にサニタイズできるよう徹底することにより、この脆弱性に対応します。(CVE-2019-0872、CVE-2019-0979)

ソリューション

Microsoftはこれらの問題に対処するために、以下の更新プログラムをリリースしています。- Team Foundation Server 2015 Update 4.2 w/パッチ1 - Team Foundation Server 2017 Update 3.1 w/パッチ5 - Team Foundation Server 2018 Update 1.2 w/パッチ4 - Team Foundation Server 2018 Update 3.2 w/パッチ4 - Azure DevOps Server 2019 RTW w/パッチ2。適用するバージョンとパッチを決定するにはベンダーからのガイダンスを参照してください。

関連情報

http://www.nessus.org/u?b7e2c8f5

http://www.nessus.org/u?c6513ee5

http://www.nessus.org/u?f912b5e2

http://www.nessus.org/u?8b2dad36

http://www.nessus.org/u?7fb75469

http://www.nessus.org/u?35dc6160

プラグインの詳細

深刻度: Medium

ID: 125163

ファイル名: smb_nt_ms19_may_team_foundation_server.nasl

バージョン: 1.7

タイプ: local

エージェント: windows

公開日: 2019/5/15

更新日: 2021/3/11

依存関係: microsoft_team_foundation_server_installed.nasl, smb_hotfixes.nasl, ms_bulletin_checks_possible.nasl

リスク情報

CVSS スコアのソース: CVE-2019-0971

VPR

リスクファクター: Low

スコア: 3.6

CVSS v2

リスクファクター: High

Base Score: 9

Temporal Score: 6.7

ベクトル: AV:N/AC:L/Au:S/C:C/I:C/A:C

現状ベクトル: E:U/RL:OF/RC:C

CVSS v3

リスクファクター: Medium

Base Score: 6.5

Temporal Score: 5.7

ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

現状ベクトル: E:U/RL:O/RC:C

脆弱性情報

CPE: cpe:/a:microsoft:visual_studio_team_foundation_server, cpe:/o:microsoft:azure_devops_server

必要な KB アイテム: SMB/MS_Bulletin_Checks/Possible

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2019/5/14

脆弱性公開日: 2019/5/14

参照情報

CVE: CVE-2019-0872, CVE-2019-0971, CVE-2019-0979

BID: 108205, 108206, 108239

MSKB: 4464510, 4464511, 4464515, 4464518, 4464525, 4464528

MSFT: MS19-4464510, MS19-4464511, MS19-4464515, MS19-4464518, MS19-4464525, MS19-4464528