注
- リリース日:
2020 年 10 月 13 日 - Version:
.NET Framework 4.8
概要
セキュリティの機能強化
.NET Framework がメモリ内のオブジェクトを適切に処理しない場合に情報漏えいの脆弱性が存在します。 この脆弱性の悪用に成功した攻撃者は、影響を受けるシステムのメモリの内容を開示する可能性があります。 この脆弱性を悪用するには、認証された攻撃者が特別に細工したアプリケーションを実行する必要があります。 .NET Framework がメモリ内のオブジェクトを処理する方法を修正することで脆弱性を修正しています。
脆弱性の詳細については、次の Common Vulnerabilities and Exposures (CVE) を参照してください。
品質と信頼性の強化
| WCF1 | - 複数のサービスを同時に開始すると、WCF サービスの開始に失敗することがある問題を修正しました。 |
|---|---|
| Windows フォーム | - .NET Framework 4.8 では、Label、GroupBox、ToolStrip、ToolStripItems、StatusStrip、StatusStripItems、PropertyGrid、ProgressBar、ComboBox、MenuStrip、MenuItems、DataGridView のコントロールに対して Control.AccessibleName、Control.AccessibleRole、Control.AccessibleDescription の各プロパティが機能しなくなるという不具合がありました。この不具合を修正しました。 - データ バインド コンボ ボックスのコンボ ボックス項目のアクセス可能な名前に関する不具合を修正しました。 .NET Framework 4.8 では、DisplayMember プロパティの値ではなく型名をアクセス可能な名前として使用するようになりました。この機能強化には DisplayMember が再び使用されます。 |
| ASP.NET | - ASP.Net コントロール出力での AppPathModifier の再使用を無効にしました。 - ASP.Net 要求コンテキストの HttpCookie オブジェクトは、'new HttpCookie(name)' の動作に合わせて、.NET スタイル プリミティブの既定値ではなく、Cookie フラグの既定値が構成された状態で作成されるようになります。 |
| SQL | - ユーザーがある Azure SQL データベースに接続し、エンクレーブ ベースの操作を実行してから、同じ構成証明 URL を持つ同じサーバーで管理されている別のデータベースに接続し、2 つ目のサーバー上でエンクレーブ操作を実行した場合に発生することがあるエラーを解決しました。 |
| CLR2 | - CLR 構成変数 Thread_AssignCpuGroups (既定値は 1) を追加しました。この値を 0 に設定すると、Thread.Start() を使用して作成された新しいスレッドとスレッド プール スレッドに対して CLR によって実行される自動 CPU グループ割り当てが無効になり、アプリで独自のスレッド拡散を実行できるようになります。 - 新しい Span 型でよく使用される Unsafe.ByteOffset<T> などの新しい API を使用するときにまれに発生する可能性のあるデータ破損に対処しました。 スレッドがループ内から Unsafe.ByteOffset<T> を呼び出しているときに GC 操作が実行されると、破損が発生する可能性があります。 - AppContext スイッチ「Switch.System.Threading.UseNetCoreTimer」が有効になっている場合に、期限が非常に長いタイマーが予想よりもはるかに早く刻んでくる問題に対処しました。 |
1 Windows Communication Foundation (WCF)
2共通言語ランタイム (CLR)
この更新プログラムの既知の問題
ASP.Net アプリケーションがプリコンパイル中に失敗し、エラー メッセージが表示される
現象
この 2020 年 10 月 13 日の .NET Framework 4.8 用のセキュリティおよび品質ロールアップを適用すると、一部の ASP.Net アプリケーションがプリコンパイル中に失敗します。 表示されるエラー メッセージには、「Error ASPCONFIG」という単語が含まれている可能性があります。
原因
"System.web" 構成の "sessionState"、"anonymouseIdentification"、"authentication/forms" のいずれかのセクションで無効な構成状態が発生しています。 これは、構成変換によって Web.config ファイルがプリコンパイルの中間状態のままの場合、ビルドと公開ルーチン中に発生する可能性があります。
回避策
予期しない新しいエラーや機能的な問題が発生した場合は、次のコードをアプリケーション構成ファイルに追加 (またはマージ) することで、アプリケーション設定を実装できます。 "true" または "false" に設定すると、問題が回避されます。 ただし、Cookie を使用しないサイトでは、この値を "true" に設定することをお勧めします。
<?xml version="1.0" encoding="utf-8" ?>
<configuration>
<appSettings>
<add key=”aspnet:DisableAppPathModifier” value=”true” />
</appSettings>
</configuration>
ASP.Net アプリケーションは、URI で cookie なしのトークンを配信しない場合があります
現象
この 2020 年 10 月 1 日の .NET Framework 4.8 用のセキュリティおよび品質ロールアップを適用した後、一部の ASP.Net アプリケーションが URI で cookie なしのトークンを配信しないため、302 リダイレクト ループが発生したり、セッション状態が失われたり欠落したりする可能性があります。
原因
セッション状態、匿名識別、およびフォーム認証の ASP.Net 機能はすべて、Web クライアントへのトークンの発行に依存しており、これらの機能はすべて、それらのトークンを Cookie で配信したり、Cookie をサポートしていないクライアントの URI に埋め込んだりするためのオプションを許可します。 URI の埋め込みは長い間安全でなく推奨されない方法でした。この KB では、これら 3 つの機能のいずれかが構成で "UseUri" の Cookie モードを明示的に要求しない限り、URI でのトークンの発行を静かに無効にします。 "AutoDetect" または "UseDeviceProfile" を指定する構成では、誤ってこれらのトークンを URI に埋め込もうとして失敗する可能性があります。
回避策
予期しない新しい動作に気付いたお客様には、可能であれば、3 つの Cookie なし設定をすべて "UseCookies" に変更することをお勧めします。
<?xml version="1.0" encoding="utf-8" ?>
<configuration>
<system.web>
<anonymousidentification cookieless="UseCookies" />
<sessionState cookieless="UseCookies" />
<authentication>
<forms cookieless="UseCookies" />
</authentication>
</system.web>
</configuation>
アプリケーションで URI 埋め込みトークンをどうしても使い続ける必要があり、安全に使用できる場合は、次の appSeting を使用して再度有効にできます。 ただし、繰り返しになりますが、これらのトークンを URI に埋め込まないことを強くお勧めします。
<?xml version="1.0" encoding="utf-8" ?>
<configuration>
<appSettings>
<add key="aspnet:DisableAppPathModifier" value="false" />
</appSettings>
</configuation>
この更新プログラムの入手方法
この更新プログラムのインストール
| リリース チャネル | 使用可能 | 次の手順 |
|---|---|---|
| Windows Update および Microsoft Update | はい | ありません。 この更新プログラムは、Windows Update から自動的にダウンロードおよびインストールされます。 |
| Microsoft Update カタログ | ○ | この更新プログラムのスタンドアロン パッケージを入手するには、Microsoft Update カタログ Web サイトに移動してください。 |
| Windows Server Update Services (WSUS) | はい | 次のように [製品と分類] を構成すると、この更新プログラムは WSUS と自動的に同期されます。 製品名:Windows 10 Version 1709 分類:セキュリティ更新プログラム |
ファイル情報
この更新プログラムで提供されるファイルのリストについては、累積的な更新プログラムのファイル情報をダウンロードしてください。
保護とセキュリティに関する情報
- オンラインでの自分の保護: Windows セキュリティのサポート
- サイバー脅威から保護する方法についての説明: Microsoft セキュリティ