Microsoft Team Foundation Serverのセキュリティ更新プログラム（2020年3月）
high Nessus プラグイン ID 134380
Language:
概要
Microsoft Team Foundation Serverは、複数の脆弱性の影響を受けます。説明
Microsoft Team Foundation Serverにセキュリティ更新プログラムがありません。したがって、以下の複数の脆弱性の影響を受けます。- Azure DevOps Serverがユーザーの入力を適切にサニタイズしないとき、クロスサイトスクリプティング（XSS）の脆弱性があります。認証された攻撃者が、特別に細工されたペイロードをTeam Foundation Serverに送信して、この脆弱性を悪用する可能性があります。これは侵害されたページにユーザーがアクセスするたびにユーザーのコンテキストで実行されます。この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムにクロスサイトスクリプティング攻撃を仕掛け、現在のユーザーのセキュリティコンテキストでスクリプトを実行する可能性があります。この攻撃によって、攻撃者が読み取りを許可されていないコンテンツを読み取ったり、悪意のあるコードを実行したり、被害者の身分情報を利用し被害者になりすましてアクセス許可の変更やコンテンツの削除などを実行したりする可能性があります。このセキュリティ更新プログラムは、Azure DevOps Serverがユーザー入力を確実にサニタイズすることにより、この脆弱性に対応します。（CVE-2020-0700）- Azure DevOps ServerおよびTeam Foundation Servicesがパイプラインのジョブトークンを不適切に処理するとき、権限の昇格の脆弱性があります。この脆弱性を悪用した攻撃者が、プロジェクトへのアクセス権を拡大する可能性があります。（CVE-2020-0758、CVE-2020-0815）ソリューション
Microsoftはこれらの問題を解決するために、以下の更新プログラムをリリースしています。- Team Foundation Server 2017 Update 3.1 w/パッチ10 - Team Foundation Server 2018 Update 1.2 w/パッチ8 - Team Foundation Server 2018 Update 3.2 w/パッチ10 - Azure DevOps Server 2019 Update 0.1 w/パッチ5 - Azure DevOps Server 2019 Update 1.1 w/パッチ1。適用するバージョンとパッチを決定するにはベンダーからのガイダンスを参照してください。プラグインの詳細
深刻度: High
ID: 134380
ファイル名: smb_nt_ms20_mar_team_foundation_server.nasl
バージョン: 1.7
タイプ: local
エージェント: windows
公開日: 2020/3/10
更新日: 2021/6/3
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
CVSS v2
リスクファクター: Medium
基本値: 6
現状値: 4.4
ベクトル: CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:P
CVSS スコアのソース: CVE-2020-0815
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:microsoft:azure_devops_server, cpe:/a:microsoft:visual_studio_team_foundation_server
必要な KB アイテム: SMB/MS_Bulletin_Checks/Possible
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2020/3/10
脆弱性公開日: 2020/3/10
参照情報
CVE: CVE-2020-0700, CVE-2020-0758, CVE-2020-0815
IAVA: 2020-A-0096-S