หมายเหตุ
- วันที่เผยแพร่:
วันที่ 13 ตุลาคม 2563 - เวอร์ชัน:
.NET Framework 4.8
สรุป
การปรับปรุงความปลอดภัย
ช่องโหว่การเปิดเผยข้อมูลอยู่เมื่อ.NET Framework จัดการวัตถุในหน่วยความจําอย่างไม่ถูกต้อง ผู้โจมตีที่ใช้ประโยชน์จากช่องโหว่ได้สําเร็จอาจเปิดเผยเนื้อหาของหน่วยความจําระบบที่ได้รับผลกระทบ เมื่อต้องการใช้ประโยชน์จากช่องโหว่ ผู้โจมตีที่ได้รับการรับรองความถูกต้องจะต้องเรียกใช้แอปพลิเคชันที่ออกแบบมาเป็นพิเศษ การอัปเดตแก้ไขช่องโหว่โดยการแก้ไขวิธีที่.NET Framework จัดการวัตถุในหน่วยความจํา
หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับช่องโหว่ให้ไปที่ช่องโหว่ทั่วไปและความเสี่ยง (CVE) ต่อไปนี้
การปรับปรุงคุณภาพและความน่าเชื่อถือ
| WCF1 | - แก้ไขปัญหาเกี่ยวกับบริการ WCF บางครั้งไม่สามารถเริ่มต้นเมื่อเริ่มต้นบริการหลายรายการพร้อมกัน |
|---|---|
| Winforms | - แก้ไขปัญหาความถดถอยที่เริ่มนํามาใช้ใน.NET Framework 4.8 โดยที่ Control.AccessibleName, Control.AccessibleRole และ Control.AccessibleDescription หยุดทํางานสําหรับตัวควบคุมต่อไปนี้:Label, GroupBox, ToolStrip, ToolStripItems, StatusStrip, StatusStripItems, PropertyGrid, ProgressBar, ComboBox, MenuStrip, MenuItems, DataGridView - แก้ไขปัญหาการถดถอยในชื่อที่สามารถเข้าถึงได้สําหรับรายการกล่องคําสั่งผสมสําหรับกล่องคําสั่งผสมที่ผูกข้อมูล .NET Framework 4.8 เริ่มใช้ชื่อชนิดแทนค่าของคุณสมบัติ DisplayMember เป็นชื่อที่สามารถเข้าถึงได้ การปรับปรุงนี้ใช้ DisplayMember อีกครั้ง |
| ASP.NET | - ปิดใช้งานการนํา AppPathModifier มาใช้ใหม่ในเอาต์พุตตัวควบคุม ASP.Net - วัตถุ HttpCookie ในบริบทการร้องขอ ASP.Net จะถูกสร้างขึ้นด้วยค่าเริ่มต้นที่กําหนดค่าสําหรับการตั้งค่าสถานะคุกกี้แทน NET-style primitive defaults to match the behavior of 'new HttpCookie(name)' |
| SQL | - แก้ไขปัญหาความล้มเหลวที่เกิดขึ้นในบางครั้งเมื่อผู้ใช้เชื่อมต่อกับฐานข้อมูล SQL หนึ่ง Azure ดําเนินการโดยใช้ enclave แล้วเชื่อมต่อกับฐานข้อมูลอื่นภายใต้เซิร์ฟเวอร์เดียวกันที่มี URL การตรวจสอบเดียวกัน และดําเนินการ enclave บนเซิร์ฟเวอร์ที่สอง |
| CLR2 | - เพิ่มตัวแปรการกําหนดค่า CLR Thread_AssignCpuGroups (1 ตามค่าเริ่มต้น) ที่สามารถตั้งค่าเป็น 0 เพื่อปิดใช้งานการกําหนดกลุ่ม CPU อัตโนมัติที่ดําเนินการโดย CLR สําหรับเธรดใหม่ที่สร้างขึ้นโดย Thread.Start() และเธรดพูลเธรด เพื่อให้แอปสามารถกระจายเธรดของตนเองได้ - แก้ไขปัญหาความเสียหายของข้อมูลที่เกิดขึ้นได้ยากที่อาจเกิดขึ้นเมื่อใช้ API ใหม่ เช่น Unsafe.ByteOffset<T> ซึ่งมักจะใช้กับช่วงใหม่ ความเสียหายอาจเกิดขึ้นเมื่อมีการดําเนินการ GC ในขณะที่เธรดกําลังเรียกใช้ Unsafe.ByteOffset<T> จากภายในของการวนรอบ - แก้ไขปัญหาเกี่ยวกับตัวจับเวลาที่มีเวลาครบกําหนดนานมากในการดําเนินการเร็วกว่าที่คาดไว้เมื่อเปิดใช้งานสวิตช์ AppContext "Switch.System.Threading.UseNetCoreTimer" |
1 Windows Communication Foundation (WCF)
2 รันไทม์ภาษาทั่วไป (CLR)
ปัญหาที่ทราบแล้วในการอัปเดตนี้
แอปพลิเคชัน ASP.Net ล้มเหลวระหว่างการคอมไพล์ด้วยข้อความแสดงข้อผิดพลาด
อาการ
หลังจากที่คุณใช้การเปิดตัวด้านความปลอดภัยและคุณภาพในวันที่ 13 ตุลาคม 2020 สําหรับ .NET Framework 4.8 แอปพลิเคชัน ASP.Net บางรายการจะล้มเหลวในระหว่างการคอมไพล์ ข้อความแสดงข้อผิดพลาดที่คุณได้รับจะมีคําว่า "Error ASPCONFIG"
สาเหตุ
สถานะการกําหนดค่าที่ไม่ถูกต้องในส่วน "sessionState" "anonymouseIdentification" หรือ "authentication/forms" ของการกําหนดค่า "System.web" กรณีนี้อาจเกิดขึ้นระหว่างกิจวัตรของรุ่นและเผยแพร่หากการแปลงการกําหนดค่าออกจากไฟล์ Web.config ในสถานะระดับกลางสําหรับการตรวจสอบล่วงหน้า
วิธีแก้ไขปัญหา
ปัญหานี้ได้รับการแก้ไขแล้วใน KB4601051
แอปพลิเคชัน ASP.Net อาจไม่ส่งโทเค็นที่ไร้คุกกี้ใน URI
อาการ
หลังจากที่คุณใช้การเปิดตัวด้านความปลอดภัยและคุณภาพในวันที่ 1 ตุลาคม 2020 สําหรับ .NET Framework 4.8 แอปพลิเคชัน ASP.Net บางรายการอาจไม่ส่งโทเค็นที่ไร้คุกกี้ใน URI ซึ่งอาจส่งผลให้มีการวนลูปการเปลี่ยนเส้นทาง 302 รายการหรือสถานะเซสชันสูญหายหรือขาดหายไป
สาเหตุ
ฟีเจอร์ ASP.Net สําหรับสถานะเซสชัน การระบุที่ไม่ระบุชื่อ และการรับรองความถูกต้องของฟอร์มทั้งหมดจะใช้โทเค็นการออกให้แก่เว็บไคลเอ็นต์ และทั้งหมดอนุญาตให้ตัวเลือกสําหรับโทเค็นเหล่านั้นถูกส่งในคุกกี้หรือฝังอยู่ใน URI สําหรับไคลเอ็นต์ที่ไม่สนับสนุนคุกกี้ การฝัง URI เป็นแนวทางปฏิบัติที่ไม่ปลอดภัยและถูกยกเลิกมานานแล้ว และ KB นี้ปิดใช้งานโทเค็นที่ออกใน URI อย่างเงียบๆ เว้นแต่ว่าหนึ่งในสามฟีเจอร์เหล่านี้จะร้องขอโหมดคุกกี้ของ "UseUri" ในการกําหนดค่าอย่างชัดเจน การกําหนดค่าที่ระบุ "AutoDetect" หรือ "UseDeviceProfile" อาจส่งผลให้พยายามฝังโทเค็นเหล่านี้ใน URI โดยไม่ตั้งใจและล้มเหลว
วิธีแก้ไขปัญหา
ปัญหานี้ได้รับการแก้ไขแล้วใน KB4601051
วิธีรับการอัปเดตนี้
ติดตั้งการอัปเดตนี้
| ช่องทางการเผยแพร่ | พร้อมใช้งาน | ขั้นตอนถัดไป |
|---|---|---|
| Windows Update และ Microsoft Update | ใช่ | ไม่มี การอัปเดตนี้จะถูกดาวน์โหลดและติดตั้งโดยอัตโนมัติจาก Windows Update |
| Microsoft Update Catalog | ใช่ | เมื่อต้องการขอรับแพคเกจสแตนด์อโลนสำหรับการอัปเดตนี้ ให้ไปที่เว็บไซต์ Microsoft Update Catalog |
| Windows Server Update Services (WSUS) | ใช่ | การอัปเดตนี้จะซิงค์กับ WSUS โดยอัตโนมัติหากคุณกำหนดค่าผลิตภัณฑ์และการจำแนกประเภทดังต่อไปนี้: ผลิตภัณฑ์:Windows 10 เวอร์ชัน 1607 และ Windows Server เวอร์ชัน 2016 การจำแนกประเภท: การอัปเดตความปลอดภัย |
ข้อมูลไฟล์
สําหรับลิสต์ของไฟล์ที่ระบุในการอัปเดตนี้ ให้ดาวน์โหลด ข้อมูลไฟล์สําหรับการอัปเดตแบบสะสม
ข้อมูลเกี่ยวกับการป้องกันและความปลอดภัย
- ปกป้องตัวคุณเองทางออนไลน์: การสนับสนุนความปลอดภัยของ Windows
- เรียนรู้วิธีที่เราป้องกันภัยคุกคามทางไซเบอร์: ความปลอดภัยของ Microsoft