9 юли 2024 г. – сборен пакет за актуализация на защитата и качеството за .NET Framework 3.5, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8 за Windows Server 2012 (KB5041022)

Прекъсване на подробните данни за промяната

Актуализацията на обслужването на .NET Framework, издадена на сборен пакет за актуализация на защитата и качеството от юли 2024 г. – .NET Framework съдържа корекция на защитата, насочена към увеличаване на уязвимостта на привилегиите, подробно описана в CVE 2024-38081. Корекцията промени System.IO.Path.GetTempPath метод връща стойност. Ако версията на Windows показва GetTempPath2 Win32 API, този метод извиква този API и връща отстранения път. Вижте раздела "Забележки" на документацията на GetTempPath2 за повече информация как се извършва тази разделителна способност, включително как да контролирате върнатата стойност чрез използването на променливи на средата. Api на GetTempPath2 може да не е наличен във всички версии на Windows.

Наблюдаема разлика между API на GetTempPath и GetTempPath2 Win32 е, че те връщат различни стойности за процесите, които са SYSTEM и които не са SYSTEM. При извикване на тази функция от процес, който се изпълнява като СИСТЕМА, тя ще върне пътя %WINDIR%\SystemTemp, който е недостъпен за процеси, които не са СИСТЕМНИ. Тази върната стойност за процесите на SYSTEM не може да бъде заместена от променливи на средата. За процеси, които не са на SYSTEM, GetTempPath2 ще се държи по същия начин като GetTempPath, като спазва същите променливи на средата, за да замести върнатата стойност.

В някои случаи може да е възможно да пренасочите папката Temp към друга папка с помощта на променливи на средата или други средства. Вижте официалната документация за GetTempPath2 Win32 API за най-актуалната информация за това поведение.

Обърнете се към System.IO.Path.GetTempPath API за повече информация.

Временно заобиколно решение

⚠️ Предупреждение: Отписването ще забрани корекцията на защитата за увеличаване на правата уязвимост, подробно описана в CVE 2024-38081. Опцията за отписване е само за временно заобиколно решение, ако сте сигурни, че софтуерът работи в защитени среди. Microsoft не препоръчва прилагането на това временно заобиколно решение.

• Option#1: Отпишете се в команден прозорец, като зададете променливата на средата

  • COMPlus_Disable_GetTempPath2=true

• Opiton#2: Отпишете се глобално на машината, като създадете променлива за средата за цялата система и рестартирате, за да сте сигурни, че всички процеси спазват промяната.​​​​​​​​​​​​​​

  • Променливите на средата за цялата система могат да бъдат зададени, като изпълните "sysdm.cpl" от cmd прозорец и след това отидете до "Разширени -> Променливи на средата > Системни променливи -> Създай". 

Решение

Промяната в поведението на API е създадена, за да се отговори на увеличаването на уязвимостта на привилегиите. Всеки засегнат софтуер или приложение се очаква да направи промяна в кода, за да се адаптира към тази нова промяна в дизайна.

Канал за издания

Налична

Следваща стъпка

Windows Update и Microsoft Update

Да

Никой. Тази актуализация ще се изтегли и инсталира автоматично от Windows Update.

Каталог на Microsoft Update

Да

За да изтеглите самостоятелния пакет за тази актуализация, отидете на уеб сайта Каталог на Microsoft Update .

Windows Server Update Services (WSUS)

Да

Тази актуализация на операционната система ще предложи, както е приложимо, и ще се инсталират отделни актуализации на продукта .NET Framework. За повече информация относно отделни актуализации на продукти на .NET Framework вижте допълнителна информация за тази актуализация раздел.

Тази актуализация автоматично ще се синхронизира с WSUS, ако конфигурирате както следва:

Продукт: Windows Server 2012

Класификация: Актуализации на защитата