Уязвимость повышения уровня доступа в Microsoft Identity Manager из-за некорректной обработки специальных атрибутов
Описание
Уязвимость повышения уровня доступа обнаружена в Microsoft Identity Manager 2016 SP1 Service и Portal. Проблема связана с тем, что специальным образом сформированные значения атрибутов не проходят должную фильтрацию, когда отображаются пользователю на уязвимом сервере MIM 2016. Злоумышленник способен воспользоваться этой уязвимостью, отправив специальный запрос к уязвимой установке MIM 2016.
Эксплуатация уязвимости позволяет злоумышленнику проводить XSS-атаки на уязвимых системах и запускать скрипты в контексте безопасности текущего пользователя. Из-за этого злоумышленник способен получить доступ к содержимому, на которое у него нет прав доступа, использовать личность жертвы для выполнения действий на сайте MIM Portal от имени пользователя, например, изменять разрешения, удалять содержимое, а также внедрять вредоносное содержимое в браузер пользователя.
Условия эксплуатации
Для успешной эксплуатации злоумышленник должен отправить специальным образом сформированный запрос к уязвимой установке MIM 2016.
Решение
Обновление безопасности устраняет уязвимость, обеспечивая корректную фильтрацию отображаемых атрибутов на сервере MIM 2016.
Обновления
| Продукт | Статья | Обновление |
|---|---|---|
| Microsoft Identity Manager 2016 Service Pack 1 |
Показывать по
Возможность эксплуатации
Publicly Disclosed
Exploited
Latest Software Release
Older Software Release
EPSS
Связанные уязвимости
Microsoft Identity Manager 2016 SP1 allows an attacker to gain elevated privileges when it does not properly sanitize a specially crafted attribute value being displayed to a user on an affected MIM 2016 server, aka "Microsoft Identity Manager XSS Elevation of Privilege Vulnerability."
Microsoft Identity Manager 2016 SP1 allows an attacker to gain elevated privileges when it does not properly sanitize a specially crafted attribute value being displayed to a user on an affected MIM 2016 server, aka "Microsoft Identity Manager XSS Elevation of Privilege Vulnerability."
EPSS