13 октября 2020 г. — KB4578971 Накопительный пакет обновления для платформа .NET Framework 4.8 для Windows 10 версии 1709

Применяется к

.NET

Примечание

Дата выхода:
13 октября 2020 г.
Версия:
платформа .NET Framework 4.8

Сводка

Улучшения безопасности

Уязвимость, связанная с раскрытием информации, возникает, когда платформа .NET Framework неправильно обрабатывает объекты в памяти. Злоумышленник, успешно воспользовавшийся уязвимостью, может раскрыть содержимое памяти затронутой системы. Чтобы использовать уязвимость, аутентифицированному злоумышленнику необходимо запустить специально созданное приложение. Обновление устраняет уязвимость, исправляя то, как платформа .NET Framework обрабатывает объекты в памяти.

Дополнительные сведения об уязвимостях см. в следующих статьях "Общие уязвимости и риски" (CVE).

CVE-2020-16937

Улучшения качества и надежности

WCF¹	- Устранена проблема, из-за которой службы WCF иногда не запускались при одновременном запуске нескольких служб.
Winforms	- Устранена регрессия, появившаяся в платформа .NET Framework 4.8, при которой свойства Control.AccessibleName, Control.AccessibleRole и Control.AccessibleDescription переставали работать для следующих элементов управления: Label, GroupBox, ToolStrip, ToolStripItems, StatusStrip, StatusStripItems, PropertyGrid, ProgressBar, ComboBox, MenuStrip, MenuItems, DataGridView. - Устранена регрессия в доступном имени для элементов поля со списком для полей со списком с привязкой к данным. В платформа .NET Framework 4.8 в качестве доступного имени вместо значения свойства DisplayMember снова используется имя типа. Это улучшение снова использует DisplayMember.
ASP.NET	- Отключено повторное использование AppPathModifier в выходных данных ASP.Net управления. - Объекты HttpCookie в контексте запроса ASP.Net будут создаваться с настроенными по умолчанию флагами cookie вместо . Примитивы в стиле NET по умолчанию соответствуют поведению «new HttpCookie(name)».
SQL	- Устранен сбой, который иногда возникал, когда пользователь подключался к одной базе данных Azure SQL, выполнял операцию на основе анклава, а затем подключался к другой базе данных на том же сервере с тем же URL-адресом аттестации и выполнял операцию анклава на втором сервере.
CLR²	- Добавлена переменная конфигурации CLR Thread_AssignCpuGroups (по умолчанию 1), которая может быть установлена в 0 для отключения автоматического назначения групп процессоров, выполняемого CLR для новых потоков, созданных Thread.Start() и потоков пула потоков, таким образом, чтобы приложение могло выполнять свое собственное распределение потоков. - Устранено редкое повреждение данных, которое могло произойти при использовании новых API, таких как Unsafe.ByteOffset<T> , которые часто используются с новыми типами span. Повреждение может произойти при выполнении операции GC, когда поток вызывает Unsafe.ByteOffset<T> изнутри цикла. - Устранена проблема, связанная с таймерами с очень длительным сроком выполнения, которые отсчитывались гораздо раньше, чем ожидалось, при включенном переключателе AppContext "Switch.System.Threading.UseNetCoreTimer".

¹ Windows Communication Foundation (WCF)
² Среда CLR

Известные проблемы, связанные с этим обновлением

ASP.Net приложения завершаются с ошибкой во время предварительной компиляции с сообщением об ошибке

Симптомы
После применения этого накопительного пакета безопасности и исправлений от 13 октября 2020 г. для платформа .NET Framework 4.8 некоторые приложения ASP.Net завершаются сбоем во время предварительной компиляции. Полученное сообщение об ошибке, скорее всего, будет содержать слова "Ошибка ASPCONFIG".

Причина
Недопустимое состояние конфигурации в разделах "sessionState", "anonymouseIdentification" или "authentication/forms" конфигурации "System.web". Это может произойти во время выполнения сборки и публикации, если преобразования конфигурации оставляют файл Web.config в промежуточном состоянии для предварительной компиляции.

Возможное решение
Клиенты, которые наблюдают новые непредвиденные сбои или функциональные проблемы, могут реализовать параметр приложения, добавив (или объединив) следующий код в файл конфигурации приложения. Чтобы избежать этой проблемы, установите значение "истина" или "ложь". Однако рекомендуется установить для этого параметра значение "true" для сайтов, которые не используют функции без файлов cookie.


<?xml version="1.0" encoding="utf-8" ?>
<configuration>
      <appSettings>
          <add key=”aspnet:DisableAppPathModifier” value=”true” />
     </appSettings>
</configuration>

ASP.Net приложения могут не доставлять маркеры без файлов cookie в URI

Симптомы
После применения этого накопительного пакета обновления для системы безопасности и исправлений от 1 октября 2020 г. для платформа .NET Framework 4.8 некоторые приложения ASP.Net могут не доставлять маркеры без файлов cookie в URI, что может приводить к циклам перенаправления 302 или потере или отсутствию состояния сеанса.

Причина
Функции ASP.Net для состояния сеанса, анонимной идентификации и проверки подлинности форм основаны на выдаче маркеров веб-клиенту, и все они позволяют доставлять эти маркеры в файле cookie или внедрять их в URI для клиентов, которые не поддерживают файлы cookie. Внедрение URI долгое время было небезопасной и не рекомендуемой практикой, и это KB незаметно отключает выдачу маркеров в URI, если только одна из этих трех функций явно не запрашивает режим cookie "UseUri" в конфигурации. Конфигурации, в которых указаны "AutoDetect" или "UseDeviceProfile", могут непреднамеренно привести к неудачной попытке внедрения этих маркеров в URI.

Возможное решение
Пользователям, которые наблюдают новое непредвиденное поведение, рекомендуется по возможности изменить все три параметра без файлов cookie на "UseCookies".


<?xml version="1.0" encoding="utf-8" ?>
<configuration>
     <system.web>
          <anonymousidentification cookieless="UseCookies" />
          <sessionState cookieless="UseCookies" />
          <authentication>
               <forms cookieless="UseCookies" />
          </authentication>
     </system.web>
</configuation>

Если приложению абсолютно необходимо продолжать использовать маркеры, встроенные в URI, и может делать это безопасно, их можно повторно включить с помощью следующего appSeting. Но опять же, настоятельно рекомендуется отказаться от встраивания этих маркеров в URI.


<?xml version="1.0" encoding="utf-8" ?>
<configuration>
     <appSettings>
          <add key="aspnet:DisableAppPathModifier" value="false" />
     </appSettings>
</configuation>

Порядок получения обновления

Установка этого обновления

Канал выпуска	Доступно	Следующий шаг
Центр обновления Windows и Центр обновления Майкрософт	Да	Нет. Это обновление будет скачано и установлено автоматически из Центра обновления Windows.
Каталог Центра обновления Майкрософт	Да	Чтобы получить отдельный пакет для данного обновления, перейдите на веб-сайт каталога Центра обновления Майкрософт.
Службы Windows Server Update Services (WSUS)	Да	Это обновление будет автоматически синхронизироваться с WSUS, если вы настроите продукты и классификации следующим образом: Продукт:Windows 10 версии 1709 Классификация: обновления для системы безопасности

Сведения о файлах

Чтобы получить список файлов, которые предоставляются в этом обновлении, скачайте сведения о файлах накопительного обновления.

Сведения о защите и безопасности

Защитите себя в Интернете: поддержка безопасности Windows
Узнайте, как мы защищаемся от киберугроз: Microsoft Security