Attiecas uz:
Microsoft .NET Framework 4.7.2 Microsoft .NET Framework 4.7.1, Microsoft .NET Framework 4.7, Microsoft .NET Framework 4.6.2, Microsoft .NET Framework 4.6.1, 4.6, Microsoft .NET Framework 4.5.2, Microsoft .NET Framework 3.5.1 Microsoft .NET Framework
Kopsavilkums
Šis drošības atjauninājums novērš ievainojamību Microsoft .NET Framework ievainojama šādi:
-
.NET Framework programmatūru, ja programmatūru nevar pārbaudīt faila avota atzīmes attālo koda izpildi ievainojamību. Uzbrucējs, kurš veiksmīgi izmanto ievainojamību saistībā ar pašreizējo lietotāju varētu palaist patvaļīgs kods. Ja pašreizējais lietotājs ir pieteicies, izmantojot administratora lietotāja tiesības, uzbrucējs var kontrolēt attiecīgajā sistēmas. Pēc tam uzbrucējs var instalēt programmas; skatīt, mainīt vai dzēst datus; vai izveidot jaunus kontus ar pilnām lietotāja tiesībām. Lietotājiem, kuru konts nav konfigurēts sistēmā ir mazāk lietotāja tiesības varētu attiecīgajā mazāk nekā lietotājiem, kam ir administratora tiesības.
Ievainojamību izmantošana prasa lietotāja attiecīgajā .NET Framework versija ar speciāli izstrādāts faila atvēršanai. E-pasta uzbrukumu gadījumā uzbrucējs varētu izmantot ievainojamību, nosūtot speciāli izstrādāts faila lietotājam un pārliecinātu lietotājam atvērt šo failu.
Šis drošības atjauninājums novērš ievainojamību labojot kā .NET Framework pārbauda faila avota atzīmes. Lai iegūtu papildinformāciju par šo ievainojamību, skatiet Microsoft bieži vājās vietas un riska CVE-2019-0613.
-
Ievainojamības rezultātā noteiktas .NET Framework API, kas parsēt URL. Uzbrucējs, kurš veiksmīgi izmanto šo ievainojamību varētu to izmantot, lai apietu drošības loģikas paredzēts pārliecinieties, vai norādītais lietotāja URL pieder noteiktu resursdatora nosaukumu vai apakšdomēnu resursdatora nosaukuma. To var izmantot, lai izraisīt priviliģēto paziņojums jāveic neuzticamu pakalpojumu, ja šis pakalpojums ir uzticams.
Lai izmantotu ievainojamību, uzbrucējs jānorāda URL virknes programma, kas mēģina pārbaudīt URL pieder noteiktu resursdatora nosaukumu vai resursdatora nosaukuma apakšdomēns. Lietojumprogramma ir veiciet HTTP pieprasījumu uzbrucējs nodrošinātās URL tieši vai nosūtot pārstrādāto versiju uzbrucējs nodrošinātās URL web pārlūkprogramma. Lai iegūtu papildinformāciju par šo ievainojamību, skatiet Microsoft bieži vājās vietas un riska CVE-2019-0657.
Svarīgi!
-
.NET Framework 4.7.2 4.7.1, 4.7, 4.6.2, 4.6.1 un 4.6 visus atjauninājumus nepieciešams d3dcompiler_47.dll atjauninājums ir instalēts. Ieteicams instalēt atjauninājumu iekļauta d3dcompiler_47.dll pirms šī atjauninājuma. Lai iegūtu papildinformāciju par d3dcompiler_47.dll, skatiet zināšanu bāzes 4019990.
-
Ja pēc šī atjauninājuma instalēšanas instalēt valodas pakotni, ir jāinstalē šis atjauninājums. Tādēļ ieteicams instalēt visus valodas pakotni, kas nepieciešama pirms šī atjauninājuma instalēšanas. Lai iegūtu papildinformāciju, skatiet Windows pievienot valodu pakotnes.
Papildinformāciju par šo atjauninājumu
Šajos rakstos ir papildinformācija par šo atjauninājumu saistībā ar konkrēto produktu versijām.
-
4483458 apraksts par drošību un kvalitātes apkopojums .NET Framework 3.5.1 Windows 7 SP1 un Server 2008 R2 SP1 (KB 4483458)
-
4483455 apraksts un Security kvalitātes apkopojums .NET Framework 4.5.2 Windows 7 SP1 Server 2008 R2 SP1 un Server 2008 SP2 (KB 4483455)
-
4483451 apraksts drošību un kvalitātes apkopojums .NET Framework 4.7.2 4.7.1, 4.7, 4.6.2, 4.6.1 un 4.6 Windows 7 SP1 un Server 2008 R2 SP1 un .NET Framework 4.6 Server 2008 SP2 (KB 4483451)
Informācija par drošību un aizsardzību
-
Aizsargājiet sevi tiešsaistē: Windows drošības atbalsta
-
Uzziniet, kā mums aizsargs pret draudiem cyber: Microsoft Security
