Microsoft SharePoint Serverのセキュリティ更新プログラム（2019年10月）

high Nessus プラグイン ID 129731

Language:

概要

リモートホストにインストールされているMicrosoft Sharepoint Serverは、複数の脆弱性の影響を受けます。

説明

リモートホストにインストールされているMicrosoft SharePoint Serverに、セキュリティ更新プログラムが適用されていません。したがって、以下の複数の脆弱性による影響を受けます:

- 影響を受けるSharePoint Serverに対する巧妙に作りこまれたWebリクエストをMicrosoft SharePoint Serverが適切にサニタイズしないとき、クロスサイトスクリプティング（XSS）の脆弱性があります。認証された攻撃者がこの脆弱性を悪用して、影響を受けるSharePoint Serverに巧妙に作りこまれたリクエストを送信する可能性があります。この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムにクロスサイトスクリプティング攻撃を仕掛け、現行のユーザーのセキュリティコンテキストでスクリプトを実行する可能性があります。攻撃者は読み取り許可が与えられていないコンテンツを読んだり、被害者の身分情報を利用し、被害者になりすましてSharePointサイトでアクションを実行したり（権限の変更やコンテンツの削除など）、ユーザーのブラウザに悪意のあるコンテンツを挿入したりする可能性があります。セキュリティ更新プログラムは、SharePoint ServerがWebリクエストを適切にサニタイズするよう徹底することにより、この脆弱性に対処しています。（CVE-2019-1070）
- Microsoft SharePoint Serverが、影響を受けるSharePoint Serverに対する巧妙に作りこまれたWebリクエストを適切にサニタイズしない場合に、なりすましの脆弱性があります。認証された攻撃者がこの脆弱性を悪用して、影響を受けるSharePoint Serverに、巧妙に作りこまれたリクエストを送信する可能性があります。この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムにクロスサイトスクリプティング攻撃を仕掛け、現行のユーザーのセキュリティコンテキストでスクリプトを実行する可能性があります。
攻撃者が、読み取り許可が与えられていないコンテンツを読んだり、被害者の身分情報を利用し、被害者になりすましてSharePointサイトでアクション（アクセス許可の変更やコンテンツの削除など）を実行したり、ユーザーのブラウザに悪意のあるコンテンツを挿入したりする可能性があります。セキュリティ更新プログラムは、SharePoint ServerがWebリクエストを適切にサニタイズするよう徹底することにより、この脆弱性に対処しています。（CVE-2019-1328）

- 影響を受けるMicrosoft SharePoint Serverに対する特別に細工されたWebリクエストをSharePoint Serverが適切にサニタイズしないとき、権限の昇格の脆弱性があります。認証されていない攻撃者がこの脆弱性を悪用して、影響を受けるSharePoint Serverに特別に細工されたリクエストを送信する可能性があります。この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムにクロスサイトスクリプティング攻撃を仕掛け、現行のユーザーのセキュリティコンテキストでスクリプトを実行する可能性があります。攻撃者が、読み取り許可が与えられていないコンテンツを読んだり、被害者の身分情報を利用し、被害者になりすましてSharePointサイトでアクション（アクセス許可の変更やコンテンツの削除など）を実行したり、ユーザーのブラウザに悪意のあるコンテンツを挿入したりする可能性があります。セキュリティ更新プログラムは、SharePoint ServerがWebリクエストを適切にサニタイズするよう徹底することにより、この脆弱性に対処しています。（CVE-2019-1329）

- Microsoft SharePointに権限昇格の脆弱性があります。この脆弱性の悪用に成功した攻撃者は、SharePoint Serverのユーザーになりすまそうとする可能性があります。
（CVE-2019-1330）

- Microsoft Excelソフトウェアがメモリ内のオブジェクトを不適切に処理する場合に、リモートコード実行の脆弱性があります。この脆弱性の悪用に成功した攻撃者が、現行ユーザーのコンテキストで任意のコードを実行する可能性があります。現行ユーザーが管理者ユーザー権限でログオンしている場合、攻撃者が影響を受けるシステムを乗っ取る可能性があります。その後、攻撃者は、完全なユーザー権限で、プログラムのインストール、データの表示・変更・削除、または新規アカウントの作成を実行する可能性があります。（CVE-2019-1331）