適用於 Windows 7 SP1 和 Server 2008 R2 SP1 之 .NET Framework 4.7.2、4.7.1、4.7、4.6.2、4.6.1、4.6、4.5.2 和 3.5.1 的安全性和品質彙總套件更新 (KB 4487078)

摘要

此安全性更新可解決 Microsoft .NET Framework 中可能允許以下內容的弱點：

• 如果 .NET Framework 軟體未檢查檔案的來源標記，即存在遠端執行程式碼弱點。 成功利用弱點 的攻擊者可能會在目前使用者的內容中執行任意程式碼。 如果目前使用者使用系統管理的使用者權限登入，則攻擊者可能會取得受影響系統的控制權。 攻擊者接下來將能安裝程式，檢視、變更或刪除資料，或建立具有完整使用者權限的新帳戶。 系統中帳戶設定為具有較少使用者權限的使用者，其所受到的影響可能會比利用系統管理使用者權限進行操作的使用者所受到的影響小。

  利用此弱點需要使用者打開具有受影響的 .NET Framework 版本的蓄意製作的檔案。 在電子郵件攻擊案例中，攻擊者可能會傳送蓄意製作的檔案給使用者，然後引誘使用者開啟該檔案，藉此利用弱點。

  此安全性更新會更正 .NET Framework 檢查檔案來源標記的方式，藉此解決弱點。
  
  若要深入了解此弱點，請參閱 Microsoft 一般弱點及安全風險 CVE-2019-0613。

• 某些解析 URL 的 .NET Framework API 中的弱點。 成功利用 此弱點的攻擊者可能利用該弱點繞過安全機制，旨在確保用戶提供的 URL 屬於特定主機名稱或該主機名稱的子域。 這會導致對不受信任的服務進行特權通信，就像該服務 受 信任一樣。

  為利用該漏洞，攻擊者必須將 URL 字串提供給試圖驗證 URL 屬於特定主機名稱或該主機名稱子域的應用。 該應用稍後必須向攻擊者提供的 URL 發出 HTTP 請求，不僅可以直接發送請求，也可以將攻擊者提供的 URL 處理版本發送至網頁流覽器。
  
  若要深入了解此弱點，請參閱 Microsoft 一般弱點及安全風險 CVE-2019-0657。

重要

• 適用於 .NET Framework 4.7.2、4.7.1、4.7、4.6.2、4.6.1和 4.6 的所有更新都需要安裝 d3dcompiler_47.dll 更新。 我們建議您在套用此更新之前，先安裝隨附的 d3dcompiler_47.dll 更新。 如需有關 d3dcompiler_47.dll 的詳細資訊，請參閱 KB 4019990。

• 如果您在安裝此更新之後安裝語言套件，您必須重新安裝此更新。 因此，我們建議您在安裝此更新前，先安裝任何需要的語言套件。 如需詳細資訊，請參閱將語言套件新增到 Windows (英文)。

此更新的其他相關資訊

下列文章包含此更新 (與個別產品版本相關) 的其他資訊。

• 4483458 說明 Windows 7 SP1 和 Server 2008 R2 SP1 的 .NET Framework 3.5.1 安全性和品質彙總套件 (KB 4483458)

• 4483455 說明適用於 Windows 7 SP1、Server 2008 R2 SP1 和 Server 2008 SP2 之 .NET Framework 4.5.2 的安全性和品質彙總套件 (KB 4483455)

• 4483451 說明適用於 Windows 7 SP1 和 Server 2008 R2 SP1 之 .NET Framework 4.7.2、4.7.1、4.7、4.6.2、4.6.1 和 4.6，以及適用於 Server 2008 SP2 之 .NET Framework 4.6 的安全性和品質彙總套件 (KB 4483451)

有關保護和安全性的資訊

• 在線上保護自己： Windows 安全性支援

• 了解我們如何防範網絡威脅： Microsoft 安全性資訊