Resumo
Existe uma vulnerabilidade de execução remota de código no Microsoft Visual Studio 2019 e no Visual Studio 2017 quando um arquivo XOML faz referência a certos tipos e faz com que um código aleatório seja executado quando esse arquivo é aberto no Visual Studio.
Há agora uma restrição sobre quais tipos podem ser usados em arquivos. xoml. Se um arquivo .xoml que contém um dos tipos não autorizados for aberto, você receberá uma mensagem de erro que indica que o tipo não é autorizado.
Para saber mais sobre a vulnerabilidade, consulte CVE-2019-1113.
Solução alternativa
Se um arquivo. xoml aberto não causar problemas de segurança, você pode desabilitar o processo de verificação de tipos não autorizados. Para fazer isso, adicione uma chave à seção <appSettings> do arquivo devenv.exe.config, como a seguir:
...
<appSettings>
<add key="microsoft:WorkflowComponentModel:DisableXOMLSerializerTypeChecking" value="true"/>
</appSettings>
...
Esse valor de appSetting desabilita completamente a verificação de tipos no serializador XOML. Se o valor for definido como true, ele terá precedência sobre o seguinte novo valor de appSetting para proibir apenas tipos específicos.
Se quiser apenas não permitir alguns tipos específicos, terá que fazer as seguintes alterações no arquivo devenv.exe.config:
...
<appSettings>
<add key="microsoft:WorkflowComponentModel:DisableXOMLSerializerDefaultUnauthorizedTypes" value="true"/>
</appSettings>
...
Essa alteração permite todos os tipos que não são autorizados por padrão. Para marcar tipos específicos como não autorizados, você também deve fazer as seguintes alterações no arquivo devenv.exe.config:
...
<configuration>
...
<configSections>
<sectionGroup name="System.Workflow.ComponentModel.WorkflowCompiler" type="System.Workflow.ComponentModel.Compiler.WorkflowCompilerConfigurationSectionGroup, System.Workflow.ComponentModel, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35">
<section name="authorizedTypes" type="System.Workflow.ComponentModel.Compiler.AuthorizedTypesSectionHandler, System.Workflow.ComponentModel, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35"/>
</sectionGroup>
</configSections>
...
<System.Workflow.ComponentModel.WorkflowCompiler>
<authorizedTypes>
<foo version="v4.0">
<authorizedType Assembly="System.Activities.Presentation, Version=4.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35" Namespace="System.Activities.Presentation" TypeName="WorkflowDesigner" Authorized="false"/>
</foo>
</authorizedTypes>
</System.Workflow.ComponentModel.WorkflowCompiler>
...
</configuration>
...
Essas alterações marcam apenas o tipo WorkflowDesigner no assembly System.Activities.Presentation como autorizado, da seguinte maneira:
-
Versão: 4.0.0.0
-
Cultura: neutra
-
PublicKeyToken: 31bf3856ad364e35
Para marcar outros tipos como não autorizados, você pode adicionar entradas semelhantes para esses tipos.
