Aktualizacje zabezpieczeń, pakiet zbiorczy jakości dla.NET Framework 4.7.2, 4.7.1, 4.7, 4.6.2, 4.6.1, 4.6, 4.5.2 i 3.5.1 dla systemu Windows 7 z dodatkiem SP1 i Server 2008 R2 z dodatkiem SP1 (KB 4487078)

Podsumowanie

Ta aktualizacja zabezpieczeń usuwa luki w zabezpieczeniach w programie Microsoft.NET Framework, która umożliwia następujące czynności:

• Zdalne wykonanie kodu luki w zabezpieczeniach oprogramowania.NET Framework, jeżeli oprogramowanie nie sprawdza znaczników źródła pliku. Intruz, któremu uda się wykorzystać tę lukę, może uruchomić dowolny kod w kontekście bieżącego użytkownika. Jeśli bieżący użytkownik jest zalogowany przy użyciu prawa administratora, osoba atakująca może uzyskać kontrolę nad systemem jej podlegającym. Osoba atakująca może wówczas instalować programy; Przeglądanie, zmienianie lub usuwanie danych; lub tworzyć nowe konta z pełnymi prawami użytkownika. Użytkownicy, których konta zostały skonfigurowane do mają mniej uprawnień w systemie ponoszą mniejsze ryzyko niż użytkownicy dysponujący prawami administracyjnymi.

  Wykorzystanie tej luki wymaga użytkownika do otwarcia specjalnie spreparowanego pliku, który ma.NET Framework, którego dotyczy luka. W scenariuszu ataku za e-mail osoba atakująca może wykorzystać tę lukę poprzez wysłanie do użytkownika specjalnie spreparowany plik i nakłaniając go do otwarcia pliku.

  Ta aktualizacja zabezpieczeń usuwa lukę, modyfikując sposób.NET Framework sprawdza znaczników źródła pliku. Aby dowiedzieć się więcej na temat tej luki, zobacz Microsoft znanych luk i zagrożeń CVE-2019-0613.

• Luka w niektórych interfejsów API.NET Framework, które analizować adresów URL. Intruz, któremu uda się wykorzystać tę lukę, może użyć to pominięcie logiki bezpieczeństwa przeznaczone do upewnij się, że dostarczone przez użytkownika adres URL należały do określoną nazwę hosta lub poddomeny tej nazwy hosta. To może służyć do spowodować, że komunikacja uprzywilejowanych się do niezaufanego usługi, jak gdyby były zaufane tej usługi.

  Aby wykorzystać tę lukę, osoba atakująca musi podać ciąg adresu URL do aplikacji, która próbuje sprawdzić, czy adres URL należy do określoną nazwę hosta lub poddomeny tej nazwy hosta. Aplikacja musi dokonać żądania HTTP na przygotowany przez osobę atakującą adres URL bezpośrednio lub poprzez wysłanie przetworzonej wersji przygotowany przez osobę atakującą adres URL do przeglądarki sieci web. Aby dowiedzieć się więcej na temat tej luki, zobacz Microsoft znanych luk i zagrożeń CVE-2019-0657.

Ważne

• Wszystkie aktualizacje programu.NET Framework 4.7.2, 4.7.1, 4.7, 4.6.2, 4.6.1 i 4.6 wymagają zainstalowania aktualizacji d3dcompiler_47.dll. Firma Microsoft zaleca zainstalowanie aktualizacji d3dcompiler_47.dll zawarte przed zastosowaniem tej aktualizacji. Aby uzyskać więcej informacji o d3dcompiler_47.dll zobacz KB 4019990.

• Jeśli po zainstalowaniu tej aktualizacji zainstalowany zostanie pakiet językowy, należy ponownie zainstalować tę aktualizację. Dlatego przed zainstalowaniem tej aktualizacji zaleca się zainstalowanie potrzebnego pakietu językowego. Aby uzyskać więcej informacji zobacz Dodawanie pakietów językowych systemu Windows.

Dodatkowe informacje o tej aktualizacji

Poniższe artykuły zawierają dodatkowe informacje o tej aktualizacji, ponieważ odnosi się do wersji poszczególnych produktów.

• Opis 4483458 bezpieczeństwa i jakości pakiet zbiorczy dla.NET Framework 3.5.1 dla systemu Windows 7 z dodatkiem SP1 i Server 2008 R2 z dodatkiem SP1 (KB 4483458)

• Opis 4483455 bezpieczeństwa i jakości pakiet zbiorczy dla.NET Framework 4.5.2 dla dodatku SP1 dla systemu Windows 7, Server 2008 R2 z dodatkiem SP1 i Server 2008 z dodatkiem SP2 (KB 4483455)

• 4483451 opis bezpieczeństwa i jakości pakiet zbiorczy dla.NET Framework 4.7.2, 4.7.1, 4.7, 4.6.2, 4.6.1 i 4.6 dla systemu Windows 7 z dodatkiem SP1 i Server 2008 R2 z dodatkiem SP1 i.NET Framework 4.6 Server 2008 z dodatkiem SP2 (KB 4483451)

Informacji na temat ochrony i bezpieczeństwa

• Chronić się online: obsługuje zabezpieczenia systemu Windows

• Dowiedz się, w jaki sposób możemy zabezpieczyć się przed zagrożeniami: Microsoft Security