說明 Windows Server 2012 的 .NET Framework 4.6.2 安全性和品質彙總套件：2017 年 5 月 9 日

摘要

此 Microsoft .NET Framework 安全性更新可解決 .NET Framework (和 .NET Core) 元件無法完全驗證憑證的安全性功能略過弱點。 若要深入了解此弱點，請參閱 Microsoft 一般弱點及安全風險 CVE-2017-0248。

此更新還包含 Windows Presentation Framework PackageDigitalSignatureManager 元件以 SHA256 雜湊演算法簽署封裝的安全性增強修正程式。

重要

• 如果您在安裝此更新之後安裝語言套件，您必須重新安裝此更新。 因此，我們建議您在安裝此更新前，先安裝任何需要的語言套件。 如需詳細資訊，請參閱將語言套件新增到 Windows。

此安全性更新的其他相關資訊

• RFC 5280 的 4.2.1.12 章節 (英文) 會說明增強金鑰使用方法 (EKU)。 這個延伸部分表示，除了金鑰使用方式延伸中指定的基本用途以外，認證的公開金鑰還可另外用於一個或多個用途。 例如，用於用戶端與伺服器之間驗證的憑證必須設定為用戶端驗證。 同樣地，用於伺服器驗證的憑證必須設定為伺服器驗證。
  
  當憑證做為驗證之用時，驗證器會檢查用戶端憑證，並在應用程式原則延伸中尋找正確用途的物件識別碼。 例如，用戶端驗證的物件識別碼為 1.3.6.1.5.5.7.3.2。 當憑證用於用戶端驗證時，此物件識別碼必須存在憑證的 EKU 延伸中，否則驗證會失敗。 沒有 EKU 延伸的憑證則會繼續正確地驗證。
  
  如果您暫時無法存取以正確方式重新核發的憑證，可以選擇參加或不參加所有電腦作業間的安全性變更，以避免任何連線生效。 若要執行這項操作，請根據您應用程式的目標 .NET Framework 版本，指定下列登錄機碼設定。
  
  方法 1： 更新登錄機碼 (適用於所有版本)
  
  注意：此登錄項目必須是 DWORD 項目。
  

  • 適用於 32 位元系統上的 32 位元處理程序，以及 64 位元系統上的 64 位元處理程序：
    

    HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\v4.0.30319@RequireCertificateEKUs=0

  • 適用於 64 位元系統上的 32 位元處理程序：
    

    HKEY_LOCAL_MACHINE \Software\Wow6432Node\Microsoft\.NETFramework\v4.0.30319@RequireCertificateEKUs=0

  您也可以依每個應用程式來選擇不參加。 下列選項可用來停用此變更，以確保維持應用程式的相容性。
  
  方法 2： 停用個別應用程式的原則
  
  注意：此登錄項目必須是 DWORD 項目。 唯一有效的值是 0。 任何其他值則會遭到忽略。

  • 適用於 32 位元系統上的 32 位元處理程序，以及 64 位元系統上的 64 位元處理程序：

    HKEY_LOCAL_MACHINE\Software\Microsoft\.NETFramework\v4.0.30319@System.Net.ServicePointManager.RequireCertificateEKUs
    S:\Prj\console_pg\console_pg45\bin\Release\console_pg45.exe=0
    C:\MyApp\MyApp.exe=0

  • 適用於 64 位元系統上的 32 位元處理程序：

    HKEY_LOCAL_MACHINE \Software\Wow6432Node\Microsoft\.NETFramework\v4.0.30319@System.Net.ServicePointManager.RequireCertificateEKUs
    S:\Prj\console_pg\console_pg45\bin\Release\console_pg45.exe=0
    C:\MyApp\MyApp.exe=0

  方法 3： 使用組態 API (適用於 .NET Framework 4.6 和更新版本)
  
  從 .NET Framework 4.6 開始，您可以透過程式碼、應用程式設定或登錄變更，變更應用程式層級的設定。
  
  變更 .NET Framework 4.6 中的參數
  
  注意：下列範例會「停用」安全性功能。

  • 程式設計方式
    
    應用程式應該做的第一件事就是執行下列程式碼。 這是因為 Service Point Manager 只會初始化一次。
      private const string DisableCachingName = @"TestSwitch.LocalAppContext.DisableCaching"; private const string DontCheckCertificateEKUsName= @"Switch.System.Net.DontCheckCertificateEKUs"; AppContext.SetSwitch(DisableCachingName, true); AppContext.SetSwitch(DontCheckCertificateEKUsName, true);

  • 應用程式設定
    
    若要變更應用程式設定，請新增下列項目︰
      <runtime> <AppContextSwitchOverrides value="Switch.System.Net.DontCheckCertificateEKUsName=true"/> </runtime>

  • 登錄機碼 (全域的電腦)：
    

    登錄位置： HKEY_LOCAL_MACHINE\Software\[Wow6432Node\]Microsoft\.NETFramework\AppContext\Switch.System.Net.DontCheckCertificateEKUsName

    類型： 字串
    值： "true"

  注意：根據預設，所有在 .NET Framework 4.6 和更新版本上執行的 .NET Framework 4.x 應用程式，其 Switch.System.Net.DontCheckCertificateEKUsName = True。

• 若要深入了解這個與 Windows Server 2012 相關的安全性更新，請參閱 Microsoft 知識庫中的下列文章：

  4019113 適用於 Windows Server 2012 之 .NET Framework 3.5 Service Pack 1、4.5.2、4.6、4.6.1 和 4.6.2 更新的安全性和品質彙總套件： 2017 年 5 月 9 日

如何取得並安裝更新

檔案資訊

如何取得此安全性更新的說明及支援

• 安裝更新的說明： Windows Update 常見問題集

• 適用於 IT 專業人員的資訊安全解決方案： TechNet 安全性疑難排解與支援

• 保護您的 Windows 產品和服務免於受到病毒和惡意程式碼攻擊： Microsoft 安全性

• 您所在國家/地區的當地支援： 多語系支援

適用於

本文適用於下列項目：

• 與以下版本一起運作的 Microsoft .NET Framework 4.6.2：

  • Windows Server 2012