Windows 8.1 및 Windows Server 2012 R2의 .NET Framework 3.5, 4.5.2, 4.6, 4.6.1, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8용 보안 전용 업데이트(KB4566468)

요약

.NET Framework가 XML 파일 입력의 원본 마크업을 확인하지 못하는 경우 이 소프트웨어에는 원격 코드 실행 취약성이 존재합니다. 이 취약성 악용에 성공한 공격자는 XML 콘텐츠의 역직렬화를 담당하는 프로세스에서 임의 코드를 실행할 수 있습니다. 이 취약성을 악용하기 위해 공격자는 영향을 받는 제품을 사용하여 콘텐츠를 처리하는 서버에 특수 제작된 요청을 업로드할 수 있습니다. 이 보안 업데이트는 .NET Framework가 XML 콘텐츠의 원본 마크업을 확인하는 방식을 수정하여 취약성을 해결합니다.

이 보안 업데이트는 .NET Framework System.Data.DataTable 및 System.Data.DataSet 형식이 XML 직렬 변환된 데이터를 읽는 방법에 영향을 줍니다. 대부분의 .NET Framework 응용 프로그램은 업데이트가 설치된 후 동작에 아무런 변화가 발생하지 않습니다. 영향을 받을 수 있는 시나리오의 예를 포함해 이 업데이트가 .NET Framework에 미치는 영향에 대한 자세한 내용은 https://go.microsoft.com/fwlink/?linkid=2132227의 DataTable 및 DataSet 보안 지침 문서를 참조하십시오.

이 취약성에 대해 자세히 알아보려면 다음 CVE(Common Vulnerabilities and Exposures)를 참조하세요.

• CVE-2020-1147

중요

• 고급 IT 관리자를 위한 지침으로, Windows 8.1 및 Windows Server 2012 R2용 .NET Framework 3.5 업데이트는 .NET Framework 3.5가 설치 및 사용하도록 설정되어 있는 시스템에서만 적용해야 합니다. 사용하도록 설정된 .NET Framework 3.5 제품이 없는 오프라인 이미지로 .NET Framework 3.5 업데이트를 미리 설치하려는 고객의 경우 이러한 시스템이 온라인 상태가 된 후 시스템에서 .NET Framework 3.5를 사용하도록 설정하지 못하게 됩니다. .NET Framework 3.5 배포에 대한 자세한 내용은 Microsoft .NET Framework 3.5 배포 고려 사항을 참조하세요.

• Windows 8.1, Windows RT 8.1 및 Windows Server 2012 R2의 모든 업데이트를 사용하려면 업데이트 KB 2919355를 설치해야 합니다. 이후 업데이트를 받을 수 있도록 Windows 8.1, Windows RT 8.1 또는 Windows Server 2012 R2 기반 컴퓨터에 업데이트 KB 2919355를 설치하는 것이 좋습니다.

• 이 업데이트를 설치한 후에 언어 팩을 설치하는 경우 이 업데이트를 다시 설치해야 합니다. 따라서 이 업데이트를 설치하기 전에 언어 팩을 설치하는 것이 좋습니다. 자세한 내용은 Windows에 언어 팩 추가를 참조하세요.

알려진 문제

현상:

이 업데이트를 적용한 후 일부 응용 프로그램이 SQL CLR 저장 프로시저 내의 XML에서 System.Data.DataSet or System.Data.DataTable 인스턴스를 역직렬화하려고 할 때 TypeInitializationException 예외를 경험합니다. 이 예외에 대한 스택 추적은 다음과 같이 나타납니다.

System.TypeInitializationException: '범위'의 형식 이니셜라이저에서 예외가 발생했습니다. ---> System.IO.FileNotFoundException: 파일이나 어셈블리 'System.Drawing, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a' 또는 여기에 종속되어 있는 파일이나 어셈블리 중 하나를 로드할 수 없습니다. 지정된 파일을 찾을 수 없습니다.
     at System.Data.TypeLimiter.Scope.IsTypeUnconditionallyAllowed(Type type)
     at System.Data.TypeLimiter.Scope.IsAllowedType(Type type)
     at System.Data.TypeLimiter.EnsureTypeIsAllowed(Type type, TypeLimiter capturedLimiter)

해결 방법:

2020년 10월 13일 출시된 이 업데이트의 최신 버전을 설치합니다.

이 업데이트에 대한 추가 정보

다음 문서에는 개별 제품 버전과 관련된 이 업데이트에 대한 추가 정보가 나와 있습니다.

• 4565580 Windows 8.1 및 Windows Server 2012 R2의 .NET Framework 3.5용 보안 전용 업데이트에 대한 설명(KB4565580)

• 4565581 Windows 8.1 및 Windows Server 2012 R2의 .NET Framework 4.5.2용 보안 전용 업데이트에 대한 설명(KB4565581)

• 4565585 Windows 8.1 및 Windows Server 2012 R2의 .NET Framework 4.6, 4.6.1, 4.6.2, 4.7, 4.7.1, 4.7.2용 보안 전용 업데이트에 대한 설명(KB4565585)

• 4565588 Windows 8.1 및 Windows Server 2012 R2의 .NET Framework 4.8용 보안 전용 업데이트에 대한 설명(KB4565588)

보호 및 보안 관련 정보

• 온라인에서 스스로를 보호하는 방법: Windows 보안 지원

• Microsoft에서 사이버 위협으로부터 사용자를 보호하는 방법 알아보기: Microsoft 보안