Уязвимость утечки информации в Azure Active Directory (AAD) и Microsoft Account (MSA) во время сеанса запроса на вход
Описание
Злоумышленник, успешно воспользовавшийся уязвимостью, способен захватить учетную запись пользователя.
Условия эксплуатации
Для эксплуатации уязвимости злоумышленник должен обманом заставить пользователя перейти на специально созданный веб-сайт, позволяя украсть токен пользователя.
Решение
Обновление безопасности устраняет уязвимость, корректируя способ, которым MSA обрабатывает файлы cookie.
Часто задаваемые вопросы (FAQ)
Какой тип информации может быть раскрыт из-за этой уязвимости?
Жертва может автоматически загрузить внешний контент, что способно передать информацию злоумышленнику.
Обновления
| Продукт | Статья | Обновление |
|---|---|---|
| Windows 8.1 for 32-bit systems | ||
| Windows 8.1 for x64-based systems | ||
| Windows Server 2012 R2 | ||
| Windows RT 8.1 | - | |
| Windows Server 2012 R2 (Server Core installation) | ||
| Windows 10 for 32-bit Systems | ||
| Windows 10 for x64-based Systems | ||
| Windows Server 2016 | ||
| Windows 10 Version 1607 for 32-bit Systems | ||
| Windows 10 Version 1607 for x64-based Systems |
Показывать по
Возможность эксплуатации
Publicly Disclosed
Exploited
Latest Software Release
Older Software Release
DOS
EPSS
4.3 Medium
CVSS3
Связанные уязвимости
An information disclosure vulnerability exists in Azure Active Directory (AAD) Microsoft Account (MSA) during the login request session. An attacker who successfully exploited the vulnerability could take over a user's account. To exploit the vulnerability, an attacker would have to trick a user into browsing to a specially crafted website, allowing the attacker to steal the user's token. The security update addresses the vulnerability by correcting how MSA handles cookies.
An information disclosure vulnerability exists in Azure Active Directory (AAD) Microsoft Account (MSA) during the login request session, aka 'Windows Information Disclosure Vulnerability'.
Уязвимость облачной службы управления удостоверениями и доступом Azure Active Directory (AAD) операционной системы Windows, позволяющая нарушителю получить доступ к учетной записи пользователя
EPSS
4.3 Medium
CVSS3