Descrição da atualização Apenas de segurança do .NET Framework 3.5 Service Pack 1 para Windows 8.1 e Windows Server 2012 R2: 9 de maio de 2017

Resumo

Esta atualização de segurança para o Microsoft .NET Framework resolve uma vulnerabilidade de bypass de recurso de segurança em que os componentes do .NET Framework (e do .NET Core) não validam certificados completamente. Para saber mais sobre essa vulnerabilidade, consulte Vulnerabilidades e exposições comuns da Microsoft - CVE-2017-0248.

Esta atualização também contém correções de segurança na capacidade do componente PackageDigitalSignatureManager da Estrutura de Apresentação do Windows de assinar pacotes com o algoritmo de hash SHA256.

Importante

• Todas as atualizações futuras relacionadas ou não à segurança para o Windows RT 8.1, Windows 8.1 e Windows Server 2012 R2 exigem que a atualização  2919355  seja instalada. Recomendamos que você instale a atualização  2919355  no seu computador Windows RT 8.1, Windows 8.1 ou Windows Server 2012 R2 para continuar recebendo atualizações futuras.

• Se você instalar um pacote de idiomas depois de instalar esta atualização, será necessário reinstalar a atualização. Portanto, recomendamos que você instale qualquer pacote de idiomas necessário antes de instalar esta atualização. Para obter mais informações, consulte Adicionar pacotes de idiomas ao Windows.

Informações adicionais sobre a atualização de segurança

• O EKU (Uso Avançado de Chave) está descrito na RFC 5280, na seção 4.2.1.12: Esta extensão indica uma ou mais finalidades para as quais a chave pública certificada pode ser usada, além ou no lugar das finalidades básicas indicadas na extensão de uso da chave. Por exemplo, um certificado usado para a autenticação de um cliente em um servidor deve ser configurado para Autenticação de Cliente. De maneira semelhante, um certificado usado para a autenticação de um servidor deve ser configurado para Autenticação de Servidor.
  
  Quando certificados são usados para autenticação, o autenticador examina o certificado do cliente e procura o identificador de objeto de finalidade correto em extensões de Políticas de Aplicativo. Por exemplo, o identificador de objeto para Autenticação de Cliente é 1.3.6.1.5.5.7.3.2. Quando um certificado é usado para autenticação de cliente, esse identificador de objeto deve estar presente nas extensões EKU do certificado, ou a autenticação falhará. Certificados que não têm uma extensão EKU continuam a se autenticar corretamente.
  
  Se você não conseguir acessar certificados relançados corretamente temporariamente, poderá optar por aceitar ou recusar a alteração de segurança em todas as operações do computador para evitar quaisquer efeitos de conectividade. Para fazer isso, especifique as seguintes configurações de chave do Registro, dependendo da versão do .NET Framework para a qual seu aplicativo está voltado.
  
  Método 1: Atualizando a chave do Registro (disponível para todas as versões)
  
  Observação Esta entrada do registro deve ser uma entrada DWORD.
  

  • Para processos de 32 bits em sistemas de 32 bits e processos de 64 bits em sistemas de 64 bits:
    

    HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\v2.0.50727@RequireCertificateEKUs=0

  • Para processos de 32 bits em sistemas de 64 bits:
    

    HKEY_LOCAL_MACHINE \Software\Wow6432Node\Microsoft\.NETFramework\v2.0.50727@RequireCertificateEKUs=0

  Você também pode recusar a participação para cada aplicativo. As seguintes opções estão disponíveis para desabilitar essa alteração para garantir que a compatibilidade do aplicativo seja mantida.
  
  Método 2: Desabilitar a política para aplicativos individuais
  
  Observação Esta entrada do registro deve ser uma entrada DWORD. O único valor válido é 0. Qualquer outro valor é ignorado.

  • Para processos de 32 bits em sistemas de 32 bits e processos de 64 bits em sistemas de 64 bits:

    HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\v2.0.50727@System.Net.ServicePointManager.RequireCertificateEKUs
    S:\Prj\console_pg\console_pg45\bin\Release\console_pg45.exe=0
    C:\MyApp\MyApp.exe=0

  • Para processos de 32 bits em sistemas de 64 bits:

    HKEY_LOCAL_MACHINE \Software\Wow6432Node\Microsoft\.NETFramework\v2.0.50727@System.Net.ServicePointManager.RequireCertificateEKUs
    S:\Prj\console_pg\console_pg45\bin\Release\console_pg45.exe=0
    C:\MyApp\MyApp.exe=0

  Método 3: Usando a API de configuração (disponível para o .NET Framework 4.6 e versões posteriores)
  
  A partir do .NET Framework 4.6, você pode alterar a configuração em um nível de aplicativo com o uso de um código, uma configuração de aplicativo ou alterações no Registro.
  
  Configurando a opção no .NET Framework 4.6
  
  Observação Os seguintes exemplos desabilitam o recurso de segurança.

  • De forma programática
    
    A primeira coisa que o aplicativo deve fazer é executar o código a seguir. Isso ocorre porque o Service Point Manager inicializar somente uma vez.
      private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; private const string DontCheckCertificateEKUsName= @"Switch.System.Net.DontCheckCertificateEKUs"; AppContext.SetSwitch(DisableCachingName, true); AppContext.SetSwitch(DontCheckCertificateEKUsName, true);

  • Configuração do aplicativo
    
    Para alterar a configuração do aplicativo, adicione a seguinte entrada:
      <runtime> <AppContextSwitchOverrides value="Switch.System.Net.DontCheckCertificateEKUsName=true"/> </runtime>

  • Chave do Registro (máquina global):
    

    Local no Registro: HKEY_LOCAL_MACHINE\Software\[Wow6432Node\]Microsoft\.NETFramework\AppContext\Switch.System.Net.DontCheckCertificateEKUsName

    Tipo: Cadeia
    Valor: "true"

  Observação Por padrão, Switch.System.Net.DontCheckCertificateEKUsName = True para todos os aplicativos .NET Framework 4.x em execução no .NET Framework 4.6 e em versões posteriores.

• Para obter mais informações sobre esta atualização de segurança no que diz respeito ao Windows 8.1 e ao Windows Server 2012 R2, consulte o seguinte artigo na Base de Dados de Conhecimento Microsoft:

  4019111 Atualização Apenas de segurança para as atualizações do .NET Framework 3.5 Service Pack 1, 4.5.2, 4.6, 4.6.1 e 4.6.2 para Windows 8.1 e Windows Server 2012 R2: 9 de maio de 2017

Como obter e instalar a atualização

Informações sobre os arquivos

Como obter ajuda e suporte para esta atualização de segurança

• Ajuda para instalar atualizações: Perguntas frequentes sobre o Windows Update

• Soluções de segurança para profissionais de TI: Suporte e Solução de Problemas de Segurança do TechNet

• Ajuda para proteger seus produtos e serviços baseados no Windows contra vírus e malware: Microsoft Secure

• Suporte local de acordo com seu país: Suporte Internacional

Aplicável a

Este artigo é aplicável ao seguinte:
 

• Microsoft .NET Framework 3.5 Service Pack 1 quando usado com:

  • Windows Server 2012 R2

  • Windows 8.1