Microsoft Team Foundation Server または Azure DevOps のインストールにセキュリティ更新プログラムがありません。したがって、複数のサーバースプーフィングの脆弱性による影響を受けます。この脆弱性の悪用に成功した攻撃者が、現在のユーザーが利用可能なデータにアクセスする可能性があります。ユーザーの権限に応じて、攻撃者は org/proj 設定、ユーザー、グループ、チーム、プロジェクト、パイプライン、ボード、wiki などの ADO 要素に関する詳細データを収集する可能性があります。攻撃者はまた、ユーザーの秘密を収集するためにページ要素を細工し、要素を追加/削除する Web サイトの DOM モデルを操作することができます。細工されたスクリプトにより、ユーザーの同意や認識なしに現在のユーザーコンテキストで ADO のアクションを実行できます。

注意: すべてのシステムでは、新しいリソースグループタスクを適用する手動プロセスが必要です。Nessus は現在、タスクの状態を検出できません。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Microsoft Team Foundation Server および Azure DevOps Server のセキュリティ更新プログラム (2023 年 6 月)

high Nessus プラグイン ID 177392

バージョン 1.0