9 กรกฎาคม 2024-การเปิดตัวด้านความปลอดภัยและคุณภาพสําหรับ .NET Framework 3.5, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8 สําหรับ Windows Server 2012 R2 (KB5041023)

รายละเอียดการเปลี่ยนแปลงการหยุดพัก

การอัปเดตการบริการของ .NET Framework ที่เผยแพร่เมื่อการเปิดตัวด้านความปลอดภัยและคุณภาพประจําเดือนกรกฎาคม 2024 - .NET Framework มีการแก้ไขข้อบกพร่องด้านความปลอดภัยเพื่อแก้ไขช่องโหว่การยกระดับสิทธิ์ที่มีรายละเอียดใน CVE 2024-38081 การแก้ไขเปลี่ยนแปลงค่าส่งกลับเมธอด System.IO.Path.GetTempPath หาก Windows Version แสดง GetTempPath2 Win32 API วิธีนี้จะเรียกใช้ API นั้นและส่งกลับเส้นทางที่แก้ไขแล้ว ดูส่วน ข้อสังเกต ของเอกสารประกอบ GetTempPath2 สําหรับข้อมูลเพิ่มเติมเกี่ยวกับวิธีดําเนินการความละเอียดนี้ รวมถึงวิธีการควบคุมค่าที่ส่งกลับผ่านการใช้ตัวแปรสภาพแวดล้อม GetTempPath2 API อาจไม่พร้อมใช้งานใน Windows บางเวอร์ชัน

ความแตกต่างที่สังเกตได้ระหว่าง Api ของ GetTempPath และ GetTempPath2 Win32 คือการส่งกลับค่าที่แตกต่างกันสําหรับกระบวนการของระบบและกระบวนการที่ไม่ใช่ระบบ เมื่อเรียกฟังก์ชันนี้จากกระบวนการที่ทํางานเป็น SYSTEM จะส่งกลับพาธ %WINDIR%\SystemTemp ซึ่งไม่สามารถเข้าถึงกระบวนการที่ไม่ใช่ของระบบได้ ค่าที่ส่งกลับนี้สําหรับกระบวนการระบบไม่สามารถแทนที่ได้โดยตัวแปรสภาพแวดล้อม สําหรับกระบวนการที่ไม่ใช่ของระบบ GetTempPath2 จะทํางานเหมือนกับ GetTempPath โดยยึดตามตัวแปรสภาพแวดล้อมเดียวกันเพื่อแทนที่ค่าที่ส่งกลับ

ในบางสถานการณ์ อาจเป็นไปได้ที่จะเปลี่ยนเส้นทางโฟลเดอร์ Temp ไปยังโฟลเดอร์อื่นโดยใช้ตัวแปรสภาพแวดล้อมหรือวิธีการอื่นๆ โปรดดูเอกสารอย่างเป็นทางการสําหรับ GetTempPath2 Win32 API สําหรับข้อมูลล่าสุดเกี่ยวกับลักษณะการทํางานนี้

โปรดอ้างอิงไปยัง System.IO.Path.GetTempPath API สําหรับข้อมูลเพิ่มเติม

วิธีแก้ไขปัญหาชั่วคราว

⚠️ คําเตือน: การปฏิเสธเข้าร่วมจะปิดใช้งานการแก้ไขด้านความปลอดภัยสําหรับช่องโหว่การยกระดับสิทธิ์ที่มีรายละเอียดใน CVE 2024-38081 ตัวเลือกการปฏิเสธเข้าร่วมมีไว้สําหรับการแก้ไขปัญหาชั่วคราวเท่านั้น หากคุณแน่ใจว่าซอฟต์แวร์กําลังทํางานอยู่ในสภาพแวดล้อมที่ปลอดภัย Microsoft ไม่แนะนําให้ใช้การแก้ไขปัญหาชั่วคราวนี้

• ตัวเลือก#1: ปฏิเสธการเข้าร่วมในหน้าต่างคําสั่งโดยการตั้งค่าตัวแปรสภาพแวดล้อม

  • COMPlus_Disable_GetTempPath2=true

• Opiton#2: ปฏิเสธเข้าร่วมทั่วโลกบนเครื่องโดยการสร้างตัวแปรสภาพแวดล้อมทั้งระบบและเริ่มต้นระบบใหม่เพื่อให้แน่ใจว่ากระบวนการทั้งหมดสังเกตเห็นการเปลี่ยนแปลง​​​​​​​​​​​​​​

  • คุณสามารถตั้งค่าตัวแปรสภาพแวดล้อมทั้งระบบได้โดยการเรียกใช้ "sysdm.cpl" จากหน้าต่าง cmd แล้วนําทางไปยังตัวแปร "Advanced -> Environment -> ตัวแปรระบบ -> ใหม่" 

การแก้ไข

การเปลี่ยนแปลงลักษณะการทํางาน API คือตามการออกแบบเพื่อจัดการการยกระดับสิทธิ์ของช่องโหว่ ซอฟต์แวร์หรือแอปพลิเคชันที่ได้รับผลกระทบใด ๆ คาดว่าจะทําการเปลี่ยนแปลงรหัสเพื่อปรับให้เข้ากับการเปลี่ยนแปลงการออกแบบใหม่นี้

ช่องทางการเผยแพร่

ใช้ได้

ขั้นตอนถัดไป

Windows Update และ Microsoft Update

ใช่

ไม่มีใคร การอัปเดตนี้จะถูกดาวน์โหลดและติดตั้งโดยอัตโนมัติจาก Windows Update

Microsoft Update Catalog

ใช่

เมื่อต้องการขอรับแพคเกจสแตนด์อโลนสําหรับการอัปเดตนี้ ให้ไปที่เว็บไซต์ Microsoft Update Catalog

Windows Server Update Services (WSUS)

ใช่

การอัปเดตระบบปฏิบัติการนี้จะเสนอ การอัปเดตผลิตภัณฑ์ .NET Framework แต่ละรายการจะได้รับการติดตั้ง สําหรับข้อมูลเพิ่มเติมเกี่ยวกับการอัปเดตผลิตภัณฑ์ .NET Framework แต่ละรายการ โปรดดูข้อมูลเพิ่มเติมเกี่ยวกับส่วนการอัปเดตนี้

การอัปเดตนี้จะซิงค์กับ WSUS โดยอัตโนมัติถ้าคุณกําหนดค่าดังนี้:

ผลิตภัณฑ์: Windows Server 2012 R2

การจําแนกประเภท: การอัปเดตความปลอดภัย