Microsoft Team Foundation ServerまたはAzure DevOps Serverにセキュリティ更新プログラムがありません。したがって、以下の複数の脆弱性の影響を受けます。- Team Foundation Serverがユーザーの入力を適切にサニタイズしないとき、クロスサイトスクリプティング（XSS）の脆弱性があります。認証された攻撃者が、特別に細工されたペイロードをTeam Foundation Serverに送信して、この脆弱性を悪用する可能性があります。これは侵害されたページにユーザーがアクセスするたびにユーザーのコンテキストで実行されます。この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムにクロスサイトスクリプティング攻撃を仕掛け、現在のユーザーのセキュリティコンテキストでスクリプトを実行する可能性があります。この攻撃によって、攻撃者が読み取りを許可されていないコンテンツを読み取ったり、悪意のあるコードを実行したり、被害者の身分情報を利用し被害者になりすましてアクセス許可の変更やコンテンツの削除などを実行したりする可能性があります。このセキュリティ更新プログラムは、Team Foundation Serverがユーザー入力を確実にサニタイズすることにより、この脆弱性に対応します。（CVE-2019-1305）- Azure DevOps Server（ADO）およびTeam Foundation Server（TFS）が入力を適切に検証しないとき、リモートでコードが実行される脆弱性があります。この脆弱性の悪用に成功した攻撃者が、TFSまたはADOサービスアカウントのコンテキストにあるサーバー上でコードを実行する可能性があります。この脆弱性を悪用するには、攻撃者は特別に細工したファイルを脆弱なADOまたはTFSサーバーリポジトリにアップロードし、システムがファイルのインデックスを作成するまで待機する必要があります。セキュリティ更新プログラムは、ADOおよびTFSがファイルのインデックスを作成する方法を修正することで、この脆弱性に対応します。（CVE-2019-1306）

検出

Microsoft Team Foundation ServerおよびAzure DevOps Serverのセキュリティ更新プログラム（2019年9月）

critical Nessus プラグイン ID 128649

変更ログが見つかりません