The Microsoft Team Foundation Server or Azure DevOps Server installation on the remote host is missing a security update. It is, therefore, affected by multiple vulnerabilities :

  - An elevation of privilege vulnerability exists when     Azure DevOps Server 2019 does not properly enforce     project permissions. An attacker who exploited the     vulnerability could add GitHub repositories to a project     without having the proper access granted to their     account. (CVE-2019-0875)

  - A spoofing vulnerability that could allow a security     feature bypass exists in when Team Foundation Server     does not properly sanitize user provided input. An     attacker who exploited the vulnerability could trick a     user into loading a page containing malicious content.
    An authenticated attacker could exploit the     vulnerability by sending a specially crafted payload to     the Team Foundation Server, which would get executed in     the context of the user every time a user visits the     compromised page.  (CVE-2019-0857)

  - A spoofing vulnerability exists in Microsoft Team     Foundation Server when it fails to properly handle web     requests. An attacker who successfully exploited the     vulnerability could perform script or content injection     attacks, and attempt to trick the user into disclosing     sensitive information. An attacker could also redirect     the user to a malicious website that could spoof content     or the vulnerability could be used as a pivot to chain     an attack with other vulnerabilities in web services.
    (CVE-2019-0869)

  - A Cross-site Scripting (XSS) vulnerability exists when     Team Foundation Server does not properly sanitize user     provided input. An authenticated attacker could exploit     the vulnerability by sending a specially crafted payload     to the Team Foundation Server, which will get executed     in the context of the user every time a user visits the     compromised page. The attacker who successfully     exploited the vulnerability could then perform cross-     site scripting attacks on affected systems and run     script in the security context of the current user. The     attacks could allow the attacker to read content that     the attacker is not authorized to read, execute     malicious code, and use the victim's identity to take     actions on the site on behalf of the user, such as     change permissions and delete content. The security     update addresses the vulnerability by ensuring that Team     Foundation Server sanitizes user inputs. (CVE-2019-0866,     CVE-2019-0867, CVE-2019-0868, CVE-2019-0870,     CVE-2019-0871, CVE-2019-0874)

リモートホストにインストールされているMicrosoft Team Foundation ServerまたはAzure DevOps Serverにセキュリティ更新プログラムがありません。したがって、複数の脆弱性の影響を受けます。- Azure DevOps Server 2019がプロジェクトのアクセス許可を適切に実施しないとき、権限昇格の脆弱性があります。この脆弱性を悪用した攻撃者が、自分のアカウントに適切なアクセス権がないにもかかわらずGitHubリポジトリをプロジェクトに追加する可能性があります。（CVE-2019-0875）- Team Foundation Serverがユーザー指定の入力を適切にサニタイズしないとき、セキュリティ機能をバイパスされる可能性のあるなりすましの脆弱性があります。この脆弱性を悪用した攻撃者が、ユーザーを誘導して悪意のあるコンテンツが含まれるページを読み込ませる可能性があります。認証された攻撃者が、特別に細工されたペイロードをTeam Foundation Serverに送信して、この脆弱性を悪用する可能性があります。これは侵害されたページにユーザーがアクセスするたびにユーザーのコンテキストで実行されます。（CVE-2019-0857）- Microsoft Team Foundation ServerがWebリクエストを適切に処理しないとき、なりすましの脆弱性がMicrosoft Team Foundation Serverにあります。脆弱性の悪用に成功した攻撃者が、スクリプトまたはコンテンツインジェクション攻撃を仕掛け、秘密情報を漏えいするようにユーザーを誘導する可能性があります。また、攻撃者がコンテンツを偽装する悪意のあるWebサイトにユーザーをリダイレクトしたり、脆弱性を悪用してWebサービスの他の脆弱性と攻撃を連鎖させたりする可能性があります。（CVE-2019-0869）- Team Foundation Serverがユーザーの入力を適切にサニタイズしないとき、クロスサイトスクリプティング（XSS）の脆弱性があります。認証された攻撃者が、特別に細工されたペイロードをTeam Foundation Serverに送信して、この脆弱性を悪用する可能性があります。これは侵害されたページにユーザーがアクセスするたびにユーザーのコンテキストで実行されます。この脆弱性の悪用に成功した攻撃者が、影響を受けるシステムにクロスサイトスクリプティング攻撃を仕掛け、現在のユーザーのセキュリティコンテキストでスクリプトを実行する可能性があります。この攻撃によって、攻撃者が読み取りを許可されていないコンテンツを読み取ったり、悪意のあるコードを実行したり、被害者の身分情報を利用し被害者になりすましてアクセス許可の変更やコンテンツの削除などを実行したりする可能性があります。このセキュリティ更新プログラムは、Team Foundation Serverがユーザー入力を確実にサニタイズすることにより、この脆弱性に対応します。（CVE-2019-0866、CVE-2019-0867、CVE-2019-0868、CVE-2019-0870、CVE-2019-0871、CVE-2019-0874）

遠端主機上安裝的 Microsoft Team Foundation Server 或 Azure DevOps Server 缺少安全性更新。因此，會受到多個弱點影響：- 當 Azure DevOps Server 2019 未正確強制執行專案權限時，存在一個權限提升弱點。成功利用此弱點的攻擊者可以在其帳戶未獲得適當存取授權的情況下，新增 GitHub 存放庫至專案中。(CVE-2019-0875) - 存在一個偽造弱點，當 Team Foundation Server 未正確清理使用者提供的輸入時，其可能會導致繞過安全性功能。惡意利用該弱點的攻擊者可誘騙使用者載入含有惡意內容的頁面。經驗證的攻擊者可加以惡意利用傳送特製的裝載到 Team Foundation Server，每次當使用者造訪受入侵的網頁時，即會在使用者的內容中執行此裝載。(CVE-2019-0857) - 當 Microsoft Team Foundation Server 無法正確處理網路要求時，該伺服器中存在一個偽造弱點。成功利用此弱點的攻擊者可執行指令碼或內容插入攻擊，以及嘗試誘騙使用者洩漏敏感資訊。攻擊者也可以將使用者重新導向到可能是詐騙內容的惡意網站，或是利用弱點作為樞紐，將攻擊和網頁服務中其他弱點鏈結在一起。(CVE-2019-0869) - 當 Team Foundation Server 未正確清理使用者提供的輸入時，存在跨網站指令碼 (XSS) 弱點。經驗證的攻擊者可利用此弱點傳送特製的裝載到 Team Foundation Server，每次當使用者造訪受入侵的網頁時，即會在使用者的內容中執行此裝載。成功利用此弱點的攻擊者接著可在受影響的系統上執行跨網站指令碼攻擊，並在目前使用者的安全內容中執行指令碼。這些攻擊可允許攻擊者讀取未授權攻擊者讀取的內容、執行惡意程式碼，以及使用受害者的身分代表使用者在網站上採取動作，例如變更權限和刪除內容。此安全性更新可透過確保 Team Foundation Server 清理使用者輸入，解決此弱點。(CVE-2019-0866、CVE-2019-0867、CVE-2019-0868、CVE-2019-0870、CVE-2019-0871、CVE-2019-0874)

远程主机上安装的 Microsoft Team Foundation Server 或 Azure DevOps Server 缺少安全更新。因而会受到多个漏洞的影响：- 当 Azure DevOps Server 2019 未正确执行项目权限时，存在一个权限提升漏洞。成功利用此漏洞的攻击者可以在其帐户未获得适当访问授权的情况下，新增 GitHub 存储库至项目中。(CVE-2019-0875) - 存在一个伪造漏洞，当 Team Foundation Server 未正确清理用户提供的输入时，其可能会导致绕过安全功能。利用此漏洞的攻击者可欺骗用户加载包含恶意内容的页面。经身份验证的攻击者可通过向 Team Foundation Server 发送特制有效负载以利用此漏洞，每当用户访问受影响的页面时，便可在用户环境中执行该操作。(CVE-2019-0857) - 未正确处理 Web 请求时，Microsoft Team Foundation Server 中存在欺骗漏洞。成功利用此漏洞的攻击者可执行脚本或内容注入攻击，并尝试欺骗用户披露敏感信息。攻击者还可将用户重定向至恶意网站。该网站既可伪造内容或漏洞，也可作为支点，将攻击与 Web 服务中的其他漏洞联结。(CVE-2019-0869) - Team Foundation Server 未正确清理用户提供的输入时，存在跨站脚本 (XSS) 漏洞。经身份验证的攻击者可通过向 Team Foundation Server 发送特制有效负载以利用此漏洞，每当用户访问受影响的页面时，便可在用户环境中执行该操作。成功利用此漏洞的攻击者随后可在受影响的系统执行跨站脚本攻击，并在当前用户的安全环境中运行脚本。这些攻击会使攻击者读取自身未被授权读取的内容，执行恶意代码，以及利用受害者的身份在站点上代表用户进行一些操作，例如更改权限和删除内容。此安全性更新可通过确保 Team Foundation Server 清理用户输入，来解决此漏洞。(CVE-2019-0866, CVE-2019-0867, CVE-2019-0868, CVE-2019-0870, CVE-2019-0871, CVE-2019-0874)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
123953	Security Updates for Microsoft Team Foundation Server / Azure DevOps Server (April 2019)	Nessus	Windows : Microsoft Bulletins	2019/4/9	2024/6/4	high
123953	Microsoft Team Foundation Server/Azure DevOps Serverのセキュリティ更新プログラム（2019年4月）	Nessus	Windows : Microsoft Bulletins	2019/4/9	2024/6/4	high
123953	Microsoft Team Foundation Server / Azure DevOps Server 的安全性更新 (2019 年 4 月)	Nessus	Windows : Microsoft Bulletins	2019/4/9	2024/6/4	high
123953	Microsoft Team Foundation Server / Azure DevOps Server 的安全更新（2019 年 4 月）	Nessus	Windows : Microsoft Bulletins	2019/4/9	2024/6/4	high

検出

プラグインの検索

high

high

high

high