适用于 Windows 8.1 和 Windows Server 2012 R2 的 .NET Framework 4.6.2 仅安全更新说明：2017 年 5 月 9 日

概要

Microsoft .NET Framework 的此安全更新修复了 .NET Framework（和 .NET Core）组件未完全验证证书时的安全功能绕过漏洞。 若要了解有关此漏洞的更多信息，请参阅 Microsoft 常见漏洞和披露 CVE-2017-0248。

此更新还包含 Windows Presentation Framework PackageDigitalSignatureManager 组件使用 SHA256 哈希算法签署程序包的能力的安全增强修补程序。

重要说明

• 所有适用于 Windows RT 8.1、Windows 8.1 和 Windows Server 2012 R2 的未来安全和非安全更新均需要安装更新 2919355。 我们建议你在基于 Windows RT 8.1、Windows 8.1 或 Windows Server 2012 R2 的计算机上安装更新 2919355，以便今后持续接收更新。

• 如果在安装此更新后安装语言包，则必须重新安装此更新。 因此，我们建议你先安装所需的全部语言包，然后再安装此更新。 有关更多信息，请参阅添加语言包至 Windows。

有关此安全更新程序的其他信息

• 增强型密钥使用 (EKU) 在 RFC 5280 的第 4.2.1.12 节中进行了描述： 除了或替代在密钥使用扩展中表明的基本目的之外，此扩展表明可以使用认证公钥的一个或多个目的。 例如，用于客户端到服务器的身份验证的证书必须配置为“客户端身份验证”。 同样，用于服务器的身份验证的证书必须配置为“服务器身份验证”。
  
  当证书用于身份验证时，验证器检查客户端证书，并在应用程序策略扩展中查找正确的目的对象标识符。 例如，客户端身份验证的对象标识符为 1.3.6.1.5.5.7.3.2。 当证书用于客户端身份验证时，此对象标识符必须存在于证书的 EKU 扩展中，否则身份验证会失败。 没有 EKU 扩展的证书将继续正确地进行身份验证。
  
  如果暂时无法访问正确地重新颁发的证书，可以选择加入或退出跨所有计算机操作的安全更改，以避免任何连接效果。 为此，根据应用程序的目标 .NET Framework 版本，指定以下注册表项设置。
  
  方法 1： 更新注册表项（适用于所有版本）
  
  注意 此注册表项必须为 DWORD 项。
  

  • 对于 32 位系统上的 32 位进程和 64 位系统上的 64 位进程：
    

    HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\v4.0.30319@RequireCertificateEKUs=0

  • 对于 64 位系统上的 32 位进程：
    

    HKEY_LOCAL_MACHINE \Software\Wow6432Node\Microsoft\.NETFramework\v4.0.30319@RequireCertificateEKUs=0

  你还可以根据每个应用程序选择退出。 以下选项可用于禁用此更改，以确保维护应用程序兼容性。
  
  方法 2： 对各个应用程序禁用策略
  
  注意 此注册表项必须为 DWORD 项。 唯一的有效值为 0。 忽略其他任何值。

  • 对于 32 位系统上的 32 位进程和 64 位系统上的 64 位进程：

    HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\v4.0.30319@System.Net.ServicePointManager.RequireCertificateEKUs
    S:\Prj\console_pg\console_pg45\bin\Release\console_pg45.exe=0
    C:\MyApp\MyApp.exe=0

  • 对于 64 位系统上的 32 位进程：

    HKEY_LOCAL_MACHINE \Software\Wow6432Node\Microsoft\.NETFramework\v4.0.30319@System.Net.ServicePointManager.RequireCertificateEKUs
    S:\Prj\console_pg\console_pg45\bin\Release\console_pg45.exe=0
    C:\MyApp\MyApp.exe=0

  方法 3： 使用配置 API（适用于 .NET Framework 4.6 及更高版本）
  
  从 .NET Framework 4.6 开始，你可以通过代码、应用程序配置或注册表更改来更改应用程序级别的配置。
  
  在 .NET Framework 4.6 中配置开关
  
  注意 以下示例可禁用安全功能。

  • 通过编程方式
    
    应用程序应首先运行以下代码。 这是因为服务点管理器只初始化一次。
      private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; private const string DontCheckCertificateEKUsName= @"Switch.System.Net.DontCheckCertificateEKUs"; AppContext.SetSwitch(DisableCachingName, true); AppContext.SetSwitch(DontCheckCertificateEKUsName, true);

  • 应用程序配置
    
    若要更改应用程序配置，请添加以下条目：
      <runtime> <AppContextSwitchOverrides value="Switch.System.Net.DontCheckCertificateEKUsName=true"/> </runtime>

  • 注册表项（全局计算机）：
    

    注册表位置： HKEY_LOCAL_MACHINE\Software\[Wow6432Node\]Microsoft\.NETFramework\AppContext\Switch.System.Net.DontCheckCertificateEKUsName

    类型：字符串
    值： “true”

  注意 默认情况下，对于在 .NET Framework 4.6 及更高版本上运行的所有 .NET Framework 4.x 应用程序，Switch.System.Net.DontCheckCertificateEKUsName = True。

• 如需了解与 Windows 8.1 和 Windows Server 2012 R2 安全更新相关的更多信息，请参阅 Microsoft 知识库中的下列文章：

  4019111 适用于 Windows 8.1 和 Windows Server 2012 R2 的 .NET Framework 3.5 Service Pack 1、4.5.2、4.6、4.6.1 和 4.6.2 仅安全更新： 2017 年 5 月 9 日

如何获取并安装更新

文件信息

如何获取此安全更新的相关帮助和支持

• 帮助安装更新程序： Windows 更新常见问题解答

• IT 专业人员安全解决方案： TechNet 安全支持和疑难解答

• 帮助保护基于 Windows 的产品和服务不受病毒和恶意软件的侵害： Microsoft 安全

• 基于国家/地区的本地支持： 国际支持

适用范围

本文适用于以下对象：
 

• Microsoft .NET Framework 4.6.2，与以下版本一起使用时：

  • Windows Server 2012 R2

  • Windows 8.1