发布日期：2015-06-09
更新日期：2015-06-10

受影响系统：

Microsoft Windows Server 2012
Microsoft Windows Server 2008 SP2
Microsoft Windows Server 2008 R2 SP1

描述：

---

BUGTRAQ  ID: 75023
CVE(CAN) ID: CVE-2015-1757

Active Directory 联合身份验证服务 (AD FS) 使用基于声明的访问 (CBA) 授权机制来维护应用程序安全，简化了对系统和应用程序的访问。

Microsoft Windows Server 2008 SP2/R2 SP1、Server 2012版本中，AD FS的adfs/ls中存在跨站脚本漏洞，远程攻击者通过wct参数，利用此漏洞可注入任意Web脚本或HTML。

<*来源：John Hollenberger
        Tate Hansen
  
  链接：http://technet.microsoft.com/security/bulletin/MS15-062
*>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

  * 使用Web应用防火墙阻止可疑的请求

厂商补丁：

Microsoft
---------
Microsoft已经为此发布了一个安全公告（MS15-062）以及相应补丁:
MS15-062：Vulnerability in Active Directory Federation     Services Could Allow Elevation of Privilege
链接：http://technet.microsoft.com/security/bulletin/MS15-062

浏览次数：1982
严重程度：0（网友投票）