Gecodeerde inhoud in ASP.NET wordt niet gedecodeerd of resulteert in fouten bij een website die gebruikmaakt van permanent opgeslagen formulierverificatiecookies of die is geïmplementeerd in een webfarm

Symptomen

Nadat u beveiligingsupdate MS10-070 hebt toegepast op servers voor Microsoft ASP.NET-websites die zijn geïmplementeerd in een webfarm, treffen sommige servers of toepassingen in de webfarm mogelijk een of meer van de volgende symptomen aan:

• Het decoderen van gegevens mislukt

• Uitzonderingen in de WebResource- of ScriptResource-handlers

• Verificatie mislukt wanneer er gebruik wordt gemaakt van formulierverificatie

• Uitzondering van het type Ongeldige weergavestatus

• Uitzondering van het type Kan de gegevens niet valideren tijdens pogingen tot het decoderen van gegevens, zoals formulierverificatiecookies

De fout kan tot uitdrukking komen als een toepassingsuitzondering tijdens de toegang tot een ASP.NET-toepassing en soortgelijke informatie als die welke hierna is weergegeven, wordt mogelijk in het toepassingslogboek vastgelegd. 


Bericht 1:

System.Web.HttpException : Kan geen gegevens valideren bij System.Web.Configuration.MachineKeySection.EncryptOrDecryptData(Boolean fEncrypt, Byte[] buf, Byte[] modifier, Int32 start, Int32 length, IVType ivType, Boolean useValidationSymAlgo, Boolean signData)
Bericht 2:

Type gebeurtenis: Waarschuwing
Bron: ASP.NET 2.0.50727.0
Categorie: Webgebeurtenis
Gebeurtenis-id: 1309
Datum: Datum
Tijd: Tijd
Gebruiker: n.v.t.
Omschrijving:
Gebeurteniscode: 3005
Gebeurtenisbericht: Er is een niet-afgehandelde uitzondering opgetreden.
Uitzonderingsinformatie:
Uitzonderingstype: HttpException
Uitzonderingsbericht: Kan de gegevens niet valideren.

Oorzaak

De beveiligingsupdate die is beschreven in bulletin MS10-070 rekent af met wijzigingen in het standaardcoderingsgedrag in ASP.NET. Het nieuwe standaardgedrag na het installeren van de beveiligingsupdate is dat er naast codering tevens een validatie wordt uitgevoerd, zelfs wanneer er uitsluitend om codering wordt verzocht. Dit standaardgedrag wijzigt de gecodeerde payload op servers waarop deze update wordt toegepast. De payload omvat mogelijk weergavestatus- en formulierverificatiecookies. Als de beveiligingsupdate slechts op een aantal servers in een webfarm is toegepast, treedt er met betrekking tot dezelfde payload een verschil op in de coderings- en decoderingsmethoden op verschillende servers in de webfarm. Dit verschil resulteert in uitzonderingen. Dit gedrag kan tevens optreden als formulierverificatiecookies die permanent op systemen worden opgeslagen voordat de beveiligingsupdate wordt toegepast, worden verbruikt na het toepassen van de update.

Verder verschillen de coderings- en decoderingsmethoden voor verschillende servicepackversies van Microsoft .NET Framework 2.0. Dit heeft verschillende gecodeerde payloads en een vergelijkbare decoderingsfout tot resultaat wanneer er verschillende servicepackniveaus voor .NET Framework in een webfarmomgeving met de beveiligingsupdate zijn geïnstalleerd.

Oplossing

Controleer of op alle servers die voorzien in de ASP.NET-inhoud aan de volgende voorwaarden wordt voldaan:

• Alle servers voor een ASP.NET-website in de webfarm moeten de beveiligingsupdate installeren. Als de beveiligingsupdate op sommige servers niet is geïnstalleerd, moet u deze update op de desbetreffende servers toepassen.

• Alle computers in de webfarm waarop een versie van .NET Framework 2.0 wordt uitgevoerd, moet zijn voorzien van hetzelfde servicepackniveau als beveiligingsupdate MS10-070 op alle systemen wordt toegepast. Als er sprake is van verschillende servicepackniveaus op de servers, moet u alle servers bijwerken met het recentste servicepack en moet u alle beveiligingsupdates opnieuw toepassen. Hieruit volgt dat ervoor alle .NET Framework 2.0 SP1-servers een upgrade naar .NET Framework 2.0 SP2 moet worden uitgevoerd voordat u de beveiligingsupdate toepast op alle servers in de webfarm als op sommige servers in een webfarm .NET Framework 2.0 SP1 wordt uitgevoerd, terwijl op andere servers .NET Framework 2.0 SP2 wordt uitgevoerd.

• Zorg ervoor dat toepassingen geen gebruikmaken van gecodeerde gegevens, zoals formulierverificatiecookies, die zijn gegenereerd voordat de update werd toegepast. Eerder gecodeerde gegevens moeten worden vernieuwd nadat de beveiligingsupdate is toegepast.

Zie de sectie Verwijzingen voor meer informatie over het detecteren van de .NET Framework-versies en over het installeren van de beveiligingsupdate op uw servers.

Referenties

Zie het volgende artikel voor meer informatie over de ASP.NET-weergavestatus:

ASP.NET-weergavestatus - OverzichtZie het volgende artikel voor meer informatie over ASP.NET-formulierverificatie:

ASP.NET-formulierverificatie - OverzichtKlik voor meer informatie over tickets en cookies voor ASP.NET-formulierverificatie op het volgende artikelnummer, zodat het desbetreffende Microsoft Knowledge Base-artikel wordt weergegeven:

910443 Meer informatie over tickets en cookies voor formulierverificatie Klik voor meer informatie over de ASP.NET Web Resource-handler op het volgende artikelnummer, zodat het desbetreffende Microsoft Knowledge Base-artikel wordt weergegeven:

910442 Werken met webbronnen in ASP.NET 2.0