סיכום
קיימת פגיעות של ביצוע קוד מרחוק ב- 2019 Studio חזותי של Microsoft ו- Visual Studio 2017 אם קובץ. XOML (שפת סימון אובייקט מורחבת) מפנה סוגים מסוימים וגורם אקראיות קוד להפעלה בעת פתיחת הקובץ ב- Visual סטודיו.
כעת הוא מגבלה שבו סוגי מותרים לשימוש בקבצי. xoml. בשעת פתיחת קובץ. xoml המכיל אחד מסוגי לאחרונה לא מורשית, תקבל הודעת שגיאה המציינת הסוג אינו מורשה.
To מידע נוסף על הפגיעות, עבור אל CVE-2019-1113.
פתרון
אם קובץ נפתח. xoml אינו גורם לבעיות אבטחה, באפשרותך לבטל את תהליך הבדיקה עבור סוגי בלתי מורשית. לשם כך, הוסף מפתח<appSettings>מקטע של קובץ devenv.exe.config , כפי שמוצג להלן:
...
<appSettings>
<add key="microsoft:WorkflowComponentModel:DisableXOMLSerializerTypeChecking" value="true"/>
</appSettings>
...
זה appSetting ערך לחלוטין מבטלת את סוג בדיקת העריכה בסידרה XOML (שפת סימון אובייקט מורחבת). אם הערך מוגדר כ- true, היא מקבלת קדימות על הערך appSetting החדש הבא עבור איסור בסוגים מסוימים בלבד.
אם ברצונך רק לאסור כמה סוגים מסוימים, עליך לבצע את השינויים הבאים לקובץ ה- devenv.exe.config :
...
<appSettings>
<add key="microsoft:WorkflowComponentModel:DisableXOMLSerializerDefaultUnauthorizedTypes" value="true"/>
</appSettings>
...
שינוי זה מאפשר כל הסוגים לא מורשה כברירת מחדל. כדי לסמן סוגים מסוימים כ לא מורשית, לך גם לבצע את השינויים הבאים לקובץ ה- devenv.exe.config :
...
<configuration>
...
<configSections>
<sectionGroup name="System.Workflow.ComponentModel.WorkflowCompiler" type="System.Workflow.ComponentModel.Compiler.WorkflowCompilerConfigurationSectionGroup, System.Workflow.ComponentModel, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35">
<section name="authorizedTypes" type="System.Workflow.ComponentModel.Compiler.AuthorizedTypesSectionHandler, System.Workflow.ComponentModel, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35"/>
</sectionGroup>
</configSections>
...
<System.Workflow.ComponentModel.WorkflowCompiler>
<authorizedTypes>
<foo version="v4.0">
<authorizedType Assembly="System.Activities.Presentation, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" Namespace="System.Activities.Presentation" TypeName="WorkflowDesigner" Authorized="false"/>
</foo>
</authorizedTypes>
</System.Workflow.ComponentModel.WorkflowCompiler>
...
</configuration>
...
שינויים אלה לסמן רק את סוג WorkflowDesigner בהרכבה System.Activities.Presentation כ לא מורשית, כדלקמן:
-
גירסה: 4.0.0.0
-
התרבות: נייטרלית
-
PublicKeyToken: 31bf3856ad364e35
כדי לסמן סוגים אחרים כמו בלתי מורשית, באפשרותך להוסיף ערכים דומים עבור סוגים אלה.
