9 Ιουλίου 2024-Συνάθροιση ενημερώσεων ασφάλειας και ποιότητας για .NET Framework 3.5, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8 για Windows Server 2012 (KB5041022)

Λεπτομέρειες αλλαγών που δεν διακόπτουν

Η ενημέρωση συντήρησης του .NET Framework που κυκλοφόρησε τον Ιούλιο του 2024 σχετικά με την ασφάλεια και τη συνάθροιση ενημερώσεων ποιότητας - Το .NET Framework περιέχει μια επιδιόρθωση ασφαλείας που επιλύθηκε με μια ευπάθεια αναβάθμισης δικαιωμάτων που περιγράφεται λεπτομερώς στο CVE 2024-38081. Η επιδιόρθωση άλλαξε την τιμή επιστροφής της μεθόδου System.IO.Path.GetTempPath. Εάν η έκδοση των Windows εκθέσει το API GetTempPath2 Win32, αυτή η μέθοδος καλεί το API και επιστρέφει τη διαδρομή που επιλύθηκε. Ανατρέξτε στην ενότητα "Παρατηρήσεις" στην τεκμηρίωση του GetTempPath2 για περισσότερες πληροφορίες σχετικά με τον τρόπο εκτέλεσης αυτής της ανάλυσης, καθώς και τον τρόπο ελέγχου της επιστρεφόμενης τιμής μέσω της χρήσης μεταβλητών περιβάλλοντος. Το GetTempPath2 API ενδέχεται να μην είναι διαθέσιμο σε όλες τις εκδόσεις των Windows.

Μια παρατηρήσιμη διαφορά μεταξύ των API GetTempPath και GetTempPath2 Win32 είναι ότι επιστρέφουν διαφορετικές τιμές για διεργασίες SYSTEM και μη SYSTEM. Κατά την κλήση αυτής της συνάρτησης από μια διεργασία που εκτελείται ως SYSTEM, θα επιστρέψει τη διαδρομή %WINDIR%\SystemTemp, η οποία δεν είναι προσβάσιμη σε διεργασίες που δεν είναι SYSTEM. Αυτή η τιμή επιστροφής για τις διεργασίες SYSTEM δεν μπορεί να αντικατασταθεί από μεταβλητές περιβάλλοντος. Για διεργασίες που δεν είναι SYSTEM, το GetTempPath2 θα συμπεριφέρεται όπως το GetTempPath, τηρώντας τις ίδιες μεταβλητές περιβάλλοντος για να παρακάμψει την επιστρεφόμενη τιμή.

Σε ορισμένες περιπτώσεις, ενδέχεται να είναι δυνατή η ανακατεύθυνση του φακέλου Temp σε διαφορετικό φάκελο χρησιμοποιώντας μεταβλητές περιβάλλοντος ή άλλα μέσα. Ανατρέξτε στην επίσημη τεκμηρίωση για το GetTempPath2 Win32 API για τις πιο ενημερωμένες πληροφορίες σχετικά με αυτή τη συμπεριφορά.

Ανατρέξτε στο System.IO.Path.GetTempPath API για περισσότερες πληροφορίες.

Προσωρινή λύση

⚠️ Προειδοποίηση: Η εξαίρεση θα απενεργοποιήσει την επιδιόρθωση ασφαλείας για την ευπάθεια αναβάθμισης δικαιωμάτων που περιγράφεται λεπτομερώς στο CVE 2024-38081. Η εξαίρεση αφορά μόνο την προσωρινή λύση, εάν είστε βέβαιοι ότι το λογισμικό εκτελείται σε ασφαλή περιβάλλοντα. Η Microsoft δεν συνιστά την εφαρμογή αυτής της προσωρινής λύσης.

• Option#1: Opt out in a command window by setting the environment variable

  • COMPlus_Disable_GetTempPath2=true

• Opiton#2: Εξαιρέστε καθολικά τον υπολογιστή, δημιουργώντας μια μεταβλητή περιβάλλοντος σε ολόκληρο το σύστημα και κάνοντας επανεκκίνηση για να εξασφαλίσετε ότι όλες οι διεργασίες παρατηρούν την αλλαγή.​​​​​​​​​​​​​​

  • Μπορείτε να ορίσετε μεταβλητές περιβάλλοντος για ολόκληρο το σύστημα, εκτελώντας το "sysdm.cpl" από ένα παράθυρο cmd και, στη συνέχεια, μεταβαίνοντας στην επιλογή "Μεταβλητές περιβάλλοντος > για προχωρημένους -> μεταβλητές συστήματος -> Δημιουργία". 

Επίλυση

Η αλλαγή συμπεριφοράς API οφείλεται στη σχεδίαση για την αντιμετώπιση της ευπάθειας αναβάθμισης δικαιωμάτων. Οποιοδήποτε λογισμικό ή εφαρμογή που επηρεάζεται αναμένεται να κάνει αλλαγή κώδικα για να προσαρμοστεί σε αυτήν τη νέα αλλαγή σχεδίασης.

Κανάλι κυκλοφορίας

Διαθέσιμος

Επόμενο βήμα

Windows Update και Microsoft Update

Ναι

Κανένας. Αυτή η ενημέρωση θα ληφθεί και θα εγκατασταθεί αυτόματα από το Windows Update.

Κατάλογος του Microsoft Update

Ναι

Για να λάβετε το μεμονωμένο πακέτο για αυτήν την ενημέρωση, μεταβείτε στην τοποθεσία web Κατάλογος του Microsoft Update .

Υπηρεσίες Windows Server Update Services (WSUS)

Ναι

Αυτή η ενημέρωση λειτουργικού συστήματος θα προσφέρει, κατά περίπτωση, και θα εγκατασταθούν μεμονωμένες ενημερώσεις προϊόντος .NET Framework. Για περισσότερες πληροφορίες σχετικά με μεμονωμένες ενημερώσεις προϊόντων του .NET Framework, ανατρέξτε στην ενότητα πρόσθετων πληροφοριών σχετικά με αυτήν την ενημέρωση .

Αυτή η ενημέρωση θα συγχρονιστεί αυτόματα με τις WSUS, αν ρυθμίσετε τις παραμέτρους ως εξής:

Προϊόν: Windows Server 2012

Ταξινόμηση: Ενημερώσεις ασφαλείας