Microsoft 資訊安全公告 MS16-020 - 重要

  • 發行項

解決阻斷服務的 Active Directory 同盟服務安全性更新 (3134222)

發行日期：2016 年 2 月 9 日

版本： 1.0

提要

這個安全性更新可解決 Active Directory 同盟服務 (ADFS) 中的弱點。如果攻擊者在表單型驗證期間傳送特定的輸入資料至 ADFS 伺服器，造成伺服器沒有回應，則此弱點會允許阻斷服務。

對於 x64 版本的 Windows Server 2012 R2 上安裝的 ADFS 3.0，此安全性更新的等級為「重要」。如需詳細資訊，請參閱＜受影響的軟體和弱點嚴重性等級＞一節。

此更新會在 ADFS 中新增其他驗證檢查，進而解決此弱點。如需有關此弱點的詳細資訊，請參閱＜弱點資訊＞一節。

如需有關此更新的詳細資訊，請參閱 Microsoft 知識庫文章編號 3134222。

受影響的軟體和弱點嚴重性等級

下列軟體版號或版本會受到影響。未列出的版號或版本不是超出支援週期就是不受影響。若要瞭解您的軟體版本的支援週期，請參閱 Microsoft 產品技術支援週期網站。

針對每個受影響的軟體所指出的嚴重性等級假設弱點可能產生最大影響。在本資訊安全公告發行的 30 天內，如需弱點之易遭利用性與嚴重性等級和安全性影響之間對應關係的資訊，請參閱2 月份公告摘要中的＜弱點入侵指數＞。

**作業系統** **元件** [**Microsoft Active Directory 同盟服務阻斷服務弱點 CVE-2016-0037**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2016-0037) **已取代更新**\*
**Windows Server 2012 R2**
Windows Server 2012 R2 [Active Directory Federation Services 3.0 ](https://www.microsoft.com/downloads/details.aspx?familyid=acb3888d-25c0-4b52-a085-4f9e26f024d0)(3134222) **重要** 阻斷服務 (DoS) [MS15-040](https://technet.microsoft.com/zh-tw/library/security/ms15-040) 中的 3045711
**Server Core 安裝選項**
Windows Server 2012 R2 (Server Core 安裝) [Active Directory Federation Services 3.0 ](https://www.microsoft.com/downloads/details.aspx?familyid=acb3888d-25c0-4b52-a085-4f9e26f024d0)(3134222) **重要** 阻斷服務 (DoS) [MS15-040](https://technet.microsoft.com/zh-tw/library/security/ms15-040) 中的 3045711
**注意** Windows Server Technical Preview 4 將受到影響。建議執行此作業系統的客戶套用更新，您可以透過 [Windows Update](https://update.microsoft.com/microsoftupdate/v6/vistadefault.aspx?ln=zh-tw) 取得更新。

* [已取代更新] 資料行僅顯示任何被取代更新鏈結中的最新更新。如需完整的已取代更新清單，請前往 Microsoft Update Catalog (英文)，搜尋更新知識庫文章編號，然後檢視更新詳細資料 (已取代更新資訊位於 [套件詳細資料] 索引標籤)。

弱點資訊

Microsoft Active Directory 同盟服務阻斷服務弱點 - CVE- 2016-0037

當 Active Directory 同盟服務 (ADFS) 嘗試在表單型驗證期間處理特定輸入時，即存在阻斷服務弱點。若攻擊者透過在表單型驗證期間傳送特定輸入以成功利用此弱點，則可造成伺服器沒有回應。

此更新會在表單型驗證期間對輸入資料新增其他的檢查，進而解決此弱點。

下表包含「一般性弱點」清單中每個弱點的標準項目連結：

弱點標題 CVE 編號 已公開揭露 是否遭到利用
Microsoft Active Directory 同盟服務阻斷服務弱點 CVE-2016-0037 否 否
### 緩和因素 Microsoft 尚未找到此項弱點的任何[緩和因素](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 因應措施 Microsoft 尚未找到此項弱點的任何[因應措施](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 安全性更新部署 -------------- 如需安全性更新部署資訊，請在[這裡](#kbarticle)參閱＜提要＞中的 Microsoft 知識庫文章。 致謝 ---- Microsoft 了解資訊安全業界所做的努力，其盡責地透露弱點來協助我們保護客戶。請參閱[致謝](https://technet.microsoft.com/zh-tw/library/security/mt674627.aspx) (英文) 以取得詳細資訊。 免責聲明 -------- Microsoft 知識庫 (Microsoft Knowledge Base) 中的資訊係以其「現狀」提供，並不提供任何形式之擔保。Microsoft 不做任何明示或默示的責任擔保，包括適售性以及適合某特定用途之擔保責任。無論任何情況下的損害，Microsoft Corporation 及其供應商皆不負任何法律責任，包括直接、間接、偶發、衍生性、所失業務利益或特殊損害。即使 Microsoft Corporation 及其供應商已被告知此類損害的可能性亦不負任何責任。某些地區不允許排除及限制衍生性或附隨損害賠償責任，因此前述限制不適用於這些地區。 修訂 ---- - V1.0 (2016 年 2 月 9 日)：公告發行。 *頁面產生時間：2016-02-03 12:07-08:00。*