Veebiosalehtede veebiteenuse meetodid võidakse blokeerida pärast 2022. aasta septembri SharePoint Serveri turbevärskenduse (KB5017733) rakendamist

Rakenduskoht
SharePoint Foundation 2013 SP1 SharePoint Server 2016 SharePoint Server 2019 SharePoint Server Subscription Edition

NB!

See artikkel sisaldab teavet selle kohta, kuidas vähendada turbesätteid või lülitada välja arvuti turbefunktsioonid. Need muudatused võivad olla vajalikud mõne konkreetse probleemi lahendamiseks. Enne muudatuste tegemist soovitame teil hinnata riske, mis on seotud selle lahenduse rakendamisega teie keskkonnas. Kui rakendate selle ajutise lahenduse, tehke arvuti kaitsmiseks kõik vajalikud lisatoimingud.

Sümptomid

Pärast järgmiste septembrikuu SharePoint Serveri turbevärskenduste installimist võivad mõned veebiosalehtede veebiteenuse meetodid olla blokeeritud. Lisaks logitakse sündmusesildid "6loz1" või "5mh3d" SharePointi ühtse logimissüsteemi (ULS) logidesse.

Põhjus

SharePointi turvalisuse tugevdamiseks lisati meetodile RenderWebPartForEdit täiustatud turbekontrollid, et blokeerida vaikimisi juhtelemendid, mis sisaldavad nende atribuutides atribuudi läbivat märki ".". See võib põhjustada olemasolevate veebiosalehtede veebiteenuse meetodite blokeerimise.

Ajutine lahendus

Märkus.

SharePoint Serveri valmisfunktsioonid ja nende sõltuvused sõltuvad web.config faili vaikesätetest. Kui teie SharePoint Serveris pole kohandatud koodi või komponente juurutatud, ei pea web.config muudatusi tegema. Kui leiate vaike-web.config endiselt mõjutatud valmisfunktsioone, avage probleemide uurimiseks ja lahendamiseks tugiteenusepilet.

Hoiatus

SharePointi web.config faili vaike-SafeControls on läbinud turbeülevaate ja sellel on seatud atribuut AllowPropertiesTraversal vastavalt sellele, kas neid peetakse atribuutides turvaliseks koos atribuudi läbivusmärgiga. Kasutajad peaksid enne täiendavate SafeControls AllowPropertiesTraversal-atribuutide seadmist tegema turbekontrolli, et veenduda, et need on atribuudiväärtustes turvalised atribuudi läbikriipsutusega kasutamiseks.

Selle probleemi lahendamiseks tühistage turbekontrollide poolt blokeeritud juhtelementide blokeering.

Esmalt otsige SharePointi ULS-i logidest sündmusesilte "6loz1" ja "5mh3d". Need sündmusesildid sisaldavad teavet selle kohta, millised juhtelemendid blokeeriti, kuna nende atribuudiväärtuses on atribuudi läbiv märk ".". Siin on mõned näited.

Märkus.

6loz1 Unsafe control=<TypeName>, <AssemblyName>, <AssemblyVersion>, <AssemblyLanguageSetting>, <AssemblyPublicKey> for having property traversal char in attribute value.

Järgmiseks uurige blokeeritud juhtelementi, et tagada selle ohutus atribuudiväärtuse atribuudi läbikriipsutusega. Kui see on turvaline, otsige <veebirakenduste web.config faili sõlmest <Configuration/SharePoint/SafeControls> selle juhtelemendi SafeControli> ja lisage sellele atribuut AllowPropertiesTraversal="True". Kui te ei leia <sellest sõlmest selle juhtelemendi SafeControli> , lisage <selle jaoks element SafeControl> atribuudiga AllowPropertiesTraversal="True" . Järgnevalt on toodud näide.

<SafeControl

    Assembly="CustomSolution.AssemblyName, Version=1.2.3.4,Culture=neutral, PublicKeyToken=11aa22bb33cc44dd"

    Namespace="CustomSolution.AssemblyName.NameSpace"

    TypeName="AffectedClass"

    AllowRemoteDesigner="True" Safe="True" SafeAgainstScript="True" AllowPropertiesTraversal="True"/>