Microsoft 資訊安全公告 MS15-086 - 重要

System Center Operations Manager 中的弱點可能會允許權限提高 (3075158)

發行日期:2015 年 8 月 11 日

版本: 1.0

提要

本安全性更新可解決 Microsoft System Center Operations Manager 中的弱點。如果使用者透過蓄意製作的 URL 造訪受影響的網站,此弱點可能會允許權限提高。攻擊者並無法強迫使用者造訪這類網站,而是引誘使用者自行前往。一般的做法是設法讓使用者點選電子郵件或 Instant Messenger 訊息中連往受影響網站的連結。

對於受影響版本的 Microsoft System Center 2012 Operations Manager 和 Microsoft System Center 2012 Operations Manager R2,此安全性更新的等級為「重要」。如需更多資訊,請參閱<受影響的軟體>一節。

此安全性更新會修改 System Center Operations Manager 接受輸入內容的方式,因而能解決這項弱點。如需有關此弱點的詳細資訊,請參閱<弱點資訊>一節。

如需有關此更新的詳細資訊,請參閱 Microsoft 知識庫文章 3075158

受影響的軟體

下列軟體版號或版本會受到影響。未列出的版號或版本不是超出支援週期就是不受影響。若要瞭解您的軟體版本的支援週期,請參閱 Microsoft 產品技術支援週期網站

**受影響的軟體** **最大資訊安全影響** **彙總嚴重性等級** **取代的更新**
**Microsoft System Center 2012 Operations Manager**
[Microsoft System Center 2012 Operations Manager](https://support.microsoft.com/zh-tw/kb/3071089) (安裝更新彙總套件 8) (3071089) 權限提高 重要
[Microsoft System Center 2012 Operations Manager Service Pack 1](https://support.microsoft.com/zh-tw/kb/3071088) (安裝更新彙總套件 10) (3071088) 權限提高 重要
**Microsoft System Center 2012 Operations Manager R2**
[Microsoft System Center 2012 Operations Manager R2](https://support.microsoft.com/zh-tw/kb/3064919) (安裝更新彙總套件 7) (3064919) 權限提高 重要

嚴重性等級和弱點識別碼

下列嚴重性等級是假設弱點可能造成的最嚴重影響而評定。在本安全性公告發行的 30 天內,如需弱點之易遭利用性與嚴重性等級和安全性影響之間對應關係的資訊,請參閱 8 月份公告摘要中的<弱點索引>。

**依受影響軟體列出的弱點嚴重性等級和最大安全性影響**
**受影響的軟體** [**System Center Operations Manager 網頁主控台 XSS 弱點 - CVE-2015-2420**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2015-2420) **彙總嚴重性等級**
**Microsoft System Center 2012 Operations Manager**
Microsoft System Center 2012 Operations Manager (3071089) **重要** 權限提高 **重要**
Microsoft System Center 2012 Operations Manager Service Pack 1 (3071088) **重要** 權限提高 **重要**
**Microsoft System Center 2012 Operations Manager R2**
Microsoft System Center 2012 Operations Manager R2 (3064919) **重要** 權限提高 **重要**

弱點資訊

System Center Operations Manager 網頁主控台 XSS 弱點 - CVE-2015-2420

Microsoft System Center Operations Manager 對輸入內容的不當驗證會引發權限提高弱點。成功利用此弱點的攻擊者,可在使用者的瀏覽器中注入用戶端指令碼。此指令碼可偽造內容、洩漏資訊,或在受影響的網站上以目標使用者的身分進行使用者可採取的任何行動。

攻擊者可引誘使用者透過蓄意製作的 URL 造訪受影響的網站,進而利用此弱點發動攻擊。任何能搭載攻擊者控制的 URL 網頁連結的媒介,都能用來發動攻擊,例如電子郵件中的連結、網站上的連結,或網站上的重新導向。此外,受侵害的網站以及接受或存放使用者提供之內容或廣告的網站裡,也可能包含蓄意製作以利用本弱點的內容。但是,攻擊者無法強迫使用者造訪這類網站,而是引誘使用者自行前往。一般的做法是設法讓使用者點選電子郵件或 Instant Messenger 訊息中的連結,經由蓄意製作的 URL 引導使用者前往受影響的網站。

具備 System Center Operations Manager Web 主控台存取權限的使用者最有可能暴露在此弱點的風險中。此更新會修改 System Center Operations Manager 接受輸入內容的方式,以解決此弱點。

Microsoft 是經由協同合作的來源接獲有關此弱點的訊息。本資訊安全公告發行時,Microsoft 尚未接到任何有關本弱點已公開用來攻擊客戶的消息。

緩和因素

Microsoft 尚未找到此項弱點的任何緩和因素

因應措施

Microsoft 尚未找到此項弱點的任何因應措施

安全性更新部署

如需安全性更新部署資訊,請在這裡參閱<提要>中的 Microsoft 知識庫文章。

致謝

Microsoft 了解資訊安全業界所做的努力,其盡責地透露弱點來協助我們保護客戶。請參閱致謝 (英文) 以取得詳細資訊。

免責聲明

Microsoft 知識庫 (Microsoft Knowledge Base) 中的資訊係以其「現狀」提供,並不提供任何形式之擔保。Microsoft 不做任何明示或默示的責任擔保,包括適售性以及適合某特定用途之擔保責任。無論任何情況下的損害,Microsoft Corporation 及其供應商皆不負任何法律責任,包括直接、間接、偶發、衍生性、所失業務利益或特殊損害。即使 Microsoft Corporation 及其供應商已被告知此類損害的可能性亦不負任何責任。某些地區不允許排除及限制衍生性或附隨損害賠償責任,因此前述限制不適用於這些地區。

修訂

  • V1.0 (2015 年 8 月 11 日):公告發行。

頁面產生時間:2015-08-05 13:11Z-07:00。