Um pedido ASP.NET que possua muitas chaves de formul�rios, ficheiros ou membros de payload JSON falha com uma excep��o

Artigo: 2661403 - Ver produtos para os quais este artigo se aplica.

Sum�rio

A actualiza��o de seguran�a MS11-100 da Microsoft limita o n�mero m�ximo de chaves de formul�rios, ficheiros e membros JSON para 1000 num pedido HTTP. Devido a esta altera��o, as aplica��es ASP.NET rejeitam os pedidos que possuam mais de 1000 destes elementos. Os clientes HTTP que efectuam estes tipos de pedidos ser�o negados e aparecer� uma mensagem de erro no browser. A mensagem de erro ter� geralmente um c�digo de estado HTTP 500. Este novo limite pode ser configurado numa base por aplica��o. Consulte a sec��o "Resolu��o" para ver as instru��es de configura��o.

Voltar ao topo | Submeter coment�rios

Sintomas

Os pedidos ASP.NET que possuam muitas chaves de formul�rios, ficheiros ou payloads JSON recebem uma resposta de erro do servidor. O registo da Aplica��o no servidor possui uma entrada de Aviso com uma Origem que � uma vers�o espec�fica do ASP.NET e uma ID do Evento de 1309. O registo do evento cont�m uma das mensagens seguintes:

Mensagem 1:

Mensagem 2:

Mensagem 3:

Informa��es da aplica��o:
Dom�nio da aplica��o: /LM/W3SVC/1/ROOT/<Dom�nio de Aplica��o>
N�vel de Fidedignidade: M�dia
Caminho Virtual da Aplica��o: <Caminho VDIR>
Caminho da Aplica��o: <Caminho da Aplica��o>
Nome da m�quina: <Nome da M�quina>

Informa��es do processo:
ID de processo: 0001
Nome do processo: w3wp.exe
Nome da conta: IIS APPPOOL\DefaultAppPool

Informa��es da excep��o:
Tipo de excep��o: InvalidOperationException
Mensagem de excep��o: A opera��o n�o � v�lida devido ao estado actual do objecto.
em System.Web.Script.Serialization.JavaScriptObjectDeserializer.DeserializeDictionary(Int32 depth)
em System.Web.Script.Serialization.JavaScriptObjectDeserializer.DeserializeInternal(Int32 depth)
em System.Web.Script.Serialization.JavaScriptObjectDeserializer.BasicDeserialize(String input, Int32 depthLimit, JavaScriptSerializer serializer)
em System.Web.Script.Serialization.JavaScriptSerializer.Deserialize(JavaScriptSerializer serializer, String input, Type type, Int32 depthLimit)
em System.Web.Script.Serialization.JavaScriptSerializer.DeserializeObject(String input)
em Failing.Page_Load(Object sender, EventArgs e)
em System.Web.Util.CalliHelper.EventArgFunctionCaller(IntPtr fp, Object o, Object t, EventArgs e)
em System.Web.Util.CalliEventHandlerDelegateProxy.Callback(Object sender, EventArgs e)
em System.Web.UI.Control.OnLoad(EventArgs e)
em System.Web.UI.Control.LoadRecursive()
em System.Web.UI.Page.ProcessRequestMain(Boolean includeStagesBeforeAsyncPoint, Boolean includeStagesAfterAsyncPoint)

O ficheiro de registo dos IIS mostra uma entrada semelhante � que se segue: 2011-01-01 00:00:00 ::1 POST /machine/default.aspx - 80 - ::1 - 500 0 0 187

Voltar ao topo | Submeter coment�rios

Causa

A actualiza��o de seguran�a da Microsoft que o boletim de seguran�a MS11-100 corrige altera o n�mero predefinido m�ximo de chaves de formul�rios, ficheiros e membros JSON que o ASP.NET ir� aceitar num pedido para 1000. Esta altera��o foi feita para corrigir a vulnerabilidade ao Denial of Service que o boletim de seguran�a MS11-100 da Microsoft refere.

Voltar ao topo | Submeter coment�rios

Resolu��o

As aplica��es que atingem este limite para chaves de formul�rios ou ficheiros podem modificar a appSetting do ASP.NET aspnet:MaxHttpCollectionKeys, conforme indicado abaixo num ficheiro de configura��o de uma aplica��o ASP.NET. Esta defini��o corrige a mensagem 1 de erro e a mensagem 2 de erro da sec��o "Sintomas".

<configuration>
<appSettings>
<add key="aspnet:MaxHttpCollectionKeys" value="1000" />
</appSettings>
</configuration>

Nota Se estiver a utilizar o ASP.NET 1.1 num sistema baseado em x86, a defini��o � ajustada acrescentando um valor DWORD � seguinte chave de registo:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\1.1.4322.0\MaxHttpCollectionKeys

Se estiver a utilizar o ASP.NET 1.1 num sistema baseado em x64, a defini��o � ajustada acrescentando um valor DWORD � seguinte chave de registo:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\ASP.NET\1.1.4322.0\MaxHttpCollectionKeys

As aplica��es que atingem este limite para payloads JSON podem modificar a appSetting do ASP.NET aspnet:MaxJsonDeserializerMembers, conforme indicado abaixo num ficheiro de configura��o de uma aplica��o ASP.NET. Esta defini��o corrige a mensagem 3 de erro da sec��o "Sintomas".

<configuration>
<appSettings>
<add key="aspnet:MaxJsonDeserializerMembers" value="1000" />
</appSettings>
</configuration>

Nota Aumentar este valor para acima da predefini��o aumenta a susceptibilidade do seu servidor � vulnerabilidade ao Denial of Service, que � discutida no boletim de seguran�a MS11-100.

Voltar ao topo | Submeter coment�rios