Μια αίτηση ASP.NET που έχει πολλά κλειδιά φόρμας, αρχεία ή μέλη ωφέλιμου φορτίου JSON αποτυγχάνει με εξαίρεση

Σύνοψη

Η ενημέρωση ασφαλείας MS11-100 της Microsoft περιορίζει τον μέγιστο αριθμό κλειδιών φόρμας, αρχείων και μελών JSON σε 1000 σε μια αίτηση HTTP. Εξαιτίας αυτής της αλλαγής, ASP.NET εφαρμογές απορρίπτουν αιτήσεις που έχουν περισσότερα από 1000 από αυτά τα στοιχεία. Τα προγράμματα-πελάτες HTTP που υποβάλλουν τέτοιου είδους αιτήματα θα απορρίπτονται και θα εμφανίζεται ένα μήνυμα σφάλματος στο πρόγραμμα περιήγησης Web. Το μήνυμα σφάλματος θα έχει συνήθως έναν κωδικό κατάστασης HTTP 500. Αυτό το νέο όριο μπορεί να ρυθμιστεί ανά εφαρμογή. Ανατρέξτε στην ενότητα "Προτεινόμενη αντιμετώπιση" για οδηγίες ρύθμισης παραμέτρων.

Συμπτώματα

ASP.NET αιτήσεις που περιέχουν πολλά κλειδιά φόρμας, αρχεία ή ωφέλιμο φορτίο JSON λαμβάνουν απόκριση σφάλματος από τον διακομιστή. Το αρχείο καταγραφής εφαρμογής στο διακομιστή έχει μια καταχώρηση προειδοποίησης με μια προέλευση που είναι μια συγκεκριμένη έκδοση του ASP.NET και ένα αναγνωριστικό συμβάντος 1309. Το αρχείο καταγραφής συμβάντων περιέχει ένα από τα ακόλουθα μηνύματα:

Μήνυμα 1:

Μήνυμα 2:

Μήνυμα 3:

        
Το αρχείο καταγραφής των υπηρεσιών IIS εμφανίζει μια καταχώρηση παρόμοια με την ακόλουθη:

2011-01-01 00:00:00 ::1 POST /machine/default.aspx - 80 - ::1 - 500 0 0 187

Αιτία

Η ενημέρωση ασφαλείας της Microsoft που αντιμετωπίζει το ενημερωτικό δελτίο ασφαλείας MS11-100 αλλάζει τον προεπιλεγμένο μέγιστο αριθμό κλειδιών φόρμας, αρχείων και μελών JSON που θα αποδέχεται ASP.NET σε μια αίτηση σε 1.000. Αυτή η αλλαγή έγινε για να αντιμετωπιστεί το θέμα ευπάθειας άρνησης εξυπηρέτησης που τεκμηριώνει το ενημερωτικό δελτίο ασφαλείας MS11-100 της Microsoft.

Επίλυση

Οι εφαρμογές που φτάνουν αυτό το όριο για κλειδιά φόρμας ή αρχεία μπορούν να τροποποιήσουν το ASP.NET appSetting aspnet:MaxHttpCollectionKeys, όπως φαίνεται παρακάτω στο αρχείο ρύθμισης παραμέτρων μιας εφαρμογής ASP.NET. Αυτή η ρύθμιση αντιμετωπίζει τα μηνύματα σφάλματος 1 και 2 από την ενότητα "Συμπτώματα".

<configuration>
<appSettings>
<add key="aspnet:MaxHttpCollectionKeys" value="1000" />
</appSettings>
</configuration>

        
Σημείωση
Εάν χρησιμοποιείτε ASP.NET 1.1 σε ένα σύστημα που βασίζεται σε x86, η ρύθμιση προσαρμόζεται προσθέτοντας μια τιμή DWORD στο ακόλουθο κλειδί μητρώου:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ASP.NET\1.1.4322.0\MaxHttpCollectionKeys

Εάν χρησιμοποιείτε ASP.NET 1.1 σε ένα σύστημα που βασίζεται σε x64, η ρύθμιση προσαρμόζεται προσθέτοντας μια τιμή DWORD στο ακόλουθο κλειδί μητρώου:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\ASP.NET\1.1.4322.0\MaxHttpCollectionKeys

        
        
Οι εφαρμογές που φτάνουν αυτό το όριο για ωφέλιμα φορτία JSON μπορούν να τροποποιήσουν το ASP.NET appSetting aspnet:MaxJsonDeserializerMembers, όπως φαίνεται παρακάτω στο αρχείο ρύθμισης παραμέτρων μιας εφαρμογής ASP.NET. Αυτή η ρύθμιση αντιμετωπίζει το μήνυμα σφάλματος 3 από την ενότητα "Συμπτώματα".

<configuration>
<appSettings>
<add key="aspnet:MaxJsonDeserializerMembers" value="1000" />
</appSettings>
</configuration>

        
Σημείωση Η αύξηση αυτής της τιμής πάνω από την προεπιλεγμένη ρύθμιση αυξάνει την ευαισθησία του διακομιστή σας στην ευπάθεια άρνησης εξυπηρέτησης που περιγράφεται στο ενημερωτικό δελτίο ασφαλείας MS11-100.

Παραπομπές

Για περισσότερες πληροφορίες σχετικά με το ενημερωτικό δελτίο ασφαλείας MS11-100, ανατρέξτε στο ακόλουθο άρθρο του TechNet:

Ασφάλεια της Microsoft Bulletin MS11-100 - κρίσιμη Για περισσότερες πληροφορίες, κάντε κλικ στον αριθμό του άρθρου παρακάτω, για προβολή του άρθρου στη Γνωσιακή Βάση της Microsoft:

2638420 MS11-100: Ένα θέμα ευπάθειας στο .NET Framework θα μπορούσε να επιτρέψει προβιβασμό δικαιωμάτων: 29 Δεκεμβρίου 2011