TACERT台灣學術網路危機處理中心

※安全通報資訊

安全通報類型	微軟安全通報
發佈日期	2013-08-13
標題	Microsoft Security Bulletin MS13-066 - 重要 Active Directory Federation Services 中的資訊安全風險可能允許資訊洩漏
CVE	CVE-2013-3185
BID
影響平台	Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 等已經過測試判斷哪些版號或版本會受到影響。其他版本超過它們的支援週期或不受影響。
說明	這個資訊安全更新可解決 Active Directory Federation Services (AD FS) 中一項未公開報告的資訊安全風險。此資訊安全風險可能會洩漏 AD FS 所使用之服務帳戶的相關資訊。攻擊者可能會嘗試從企業網路外部登入，而如果已設定帳戶鎖定原則，便會導致 AD FS 使用的服務帳戶遭鎖定。這會導致所有仰賴 AD FS 執行個體的應用程式阻斷服務 (DoS) 。對於安裝在非 Itanium 版本 Windows Server 2008 和 Windows Server 2008 R2 上的 AD FS 2.0 而言，此資訊安全更新的等級為「重要」；對於安裝在 Windows Server 2012 上的 AD FS 2.1 而言，此資訊安全更新的等級也是「重要」。對於安裝在受影響的系統上的 AD FS 1.x 而言，則沒有資訊安全等級。如需更多資訊，請參閱本節中的＜受影響及不受影響的軟體＞小節。此資訊安全更新可確保端點不會洩漏帳戶資訊，解決此項資訊安全風險。如需更多有關此資訊安全風險的資訊，請參閱下節＜資訊安全風險資訊＞下的特定資訊安全風險項目的＜常見問題集 (FAQ)＞小節。
解決方式	大部分客戶都已啟用自動更新，並且不必須採取任何行動，因為資訊安全更新將自動下載和安裝。沒有啟用自動更新的客戶則必須檢查更新，並手動安裝更新。如需有關自動更新中特定設定選項的資訊，請參閱 Microsoft 知識庫文件編號 294871。若是系統管理員和企業安裝，或是想要手動安裝此資訊安全更新的使用者，Microsoft 建議客戶使用更新管理軟體，立即套用更新，或使用 Microsoft Update 服務檢查更新。另請參閱本公告下文的＜偵測與部署工具及指南＞一節。
相關資訊連結	http://technet.microsoft.com/zh-tw/security/bulletin/MS13-066
相關修正資訊連結	http://technet.microsoft.com/zh-tw/security/bulletin/MS13-066