SharePoint Server 訂閱版本的安全性更新說明: 2024 年 3 月 12 日 (KB5002564)

套用到
SharePoint Server Subscription Edition

摘要

此安全性更新能解決 Microsoft SharePoint Server 遠端執行程式碼弱點。 欲了解更多關於此漏洞的資訊，請參閱 Microsoft 常見漏洞與暴露 CVE-2024-21426。

注意

  • 這是安全性更新程式封裝的組建 16.0.17328.20136。
  • 若要套用此安全性更新程式封裝，必須在電腦上安裝 Microsoft SharePoint Server 訂閱版本的發行版本。

改進與修正

此安全性更新導入 SharePoint Server 訂閱版本 (Edition) 24H1 版 (Version) 功能更新。 此功能更新將包含在往後所有 SharePoint Server 訂閱版本公開更新中。 欲了解更多此功能更新資訊，請參閱 SharePoint Server 訂閱版本 24H1 中的新功能與改進。

此安全性更新程式封裝包含下列 SharePoint Server 訂閱版本非安全性問題的改進與修正:

  • 允許使用者停用 SharePoint 頁面中的 SharePoint 的內容安全性原則 (CSP) HTTP 標頭。 如果你不想在 SharePoint Pages 中啟用 SharePoint CSP HTTP 標頭，可以在 PowerShell 中執行以下 cmdlet：

    Add-PSSnapin Microsoft.SharePoint.PowerShell
    $farm = Get-SPFarm
    $farm.EnableCSPHeaderForPage = $false
    $farm.Update()

  • 修正當您選取群組檢視的 [查看所有] 連結時，如果網站 URL 包含單引號 (') 字元，新式清單網頁組件會凍結的問題。

  • 修正當您使用從右至左 (RTL) 語言時，[編輯] 按鈕與清單項目編輯窗格中的多行字段標題重疊的問題。

  • 修正通訊網站的水平瀏覽無法正確反映目前網站的問題。

  • 修正 SharePoint 網站主題自訂會在表單嘗試載入時將登入表單延遲 5 秒的問題。

  • 修正純文字在快速編輯模式中會顯示為超連結的問題。

  • 修正傳統 UI 未顯示子網站正確狀態的問題。

此更新中的已知問題

  • 安裝此安全性更新程式封裝之後，您可能會遇到伺服器無法加入現有 SharePoint 伺服器陣列的問題。 如需詳細資訊，請參閱 如果伺服器陣列包含由憑證管理 (KB5037978) 所管理的憑證，就無法將伺服器新增至 SharePoint 伺服器陣列。

  • 此安全性更新程式封裝也引進了較新版本的 Microsoft.Owin 元件。 由於 SharePoint 伺服器的 Web.config 檔案中會參照此元件的版本，您必須執行升級動作來更新這些 Web.config 檔案中的參照。 如果您安裝此安全性更新程式封裝但未執行升級動作，當您瀏覽至 SharePoint 網站時，會收到下列錯誤訊息：

    注意

    無法負載檔案或組件「Microsoft.Owin, Version=3.0.1.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35」或其中一個相依性。 系統找不到指定的檔案。

    安裝此安全性更新之後，請使用下列其中一種方法執行升級動作:

    • 啟動 SharePoint 產品與技術設定精靈 (PSConfigUI.exe) 並升級。

    • 執行 SharePoint 產品設定精靈 (PSCONFIG.EXE) 命令列工具：

      PSCONFIG.EXE -cmd secureresources -cmd services -install -cmd installfeatures -cmd applicationcontent -install -cmd upgrade -inplace b2b -wait

    • 執行以下 PowerShell 指令：

      Initialize-SPResourceSecurity
      Install-SPService
      Install-SPFeature -AllExistingFeatures
      Install-SPApplicationContent
      Upgrade-SPFarm

    執行此升級動作之後，錯誤訊息會消失。
    這式設計上的行為，因為新的元件版本必須在 SharePoint Server 的 Web.config 檔案中登錄。
    此問題將影響使用者 (ZDP) 執行「零停機補丁」的能力，詳情見 SharePoint Server 零停機補丁步驟。 這是因為在執行升級動作之前，無法存取 SharePoint 網站。 在停機時間可接受時，使用者應準備好在維護時間期間，安裝更新。
    或者，使用者可以在特定伺服器上安裝更新之後，以及在伺服器恢復為負載平衡輪替之前，立即手動編輯每個 Web 應用程式的 Web.config 檔案，以避免停機。 若要這麼做，請按照下列步驟進行：

    1. 在 Web.config 檔案的 configuration>runtime>assemblyBinding 區塊中找到以下行：
      <dependentAssembly>
            <assemblyIdentity name=“Microsoft.Owin” publicKeyToken=“31bf3856ad364e35” culture=“neutral” />
            <bindingRedirect oldVersion=“0.0.0.0-3.0.1.0” newVersion=“3.0.1.0” />
      </dependentAssembly>
    2. 使用下列行，取代找到的文字:
      <dependentAssembly>
            <assemblyIdentity name=“Microsoft.Owin” publicKeyToken=“31bf3856ad364e35” culture=“neutral” />
            <bindingRedirect oldVersion=“0.0.0.0-4.2.2.0” newVersion=“4.2.2.0” />
      </dependentAssembly>

    在所有伺服器上安裝更新之後，使用者就可以執行升級動作。 手動編輯 Web.config 檔案並不會干擾升級動作。

如何取得及安裝更新

方法 1：Microsoft Update

您可以從 Microsoft Update 取得此更新。 開啟自動更新後，就會自動下載並安裝此更新。 如需有關如何自動取得安全性更新的詳細資訊，請參閱 Windows Update：常見問題集。

方法 2：Microsoft Update Catalog

若要取得此更新的獨立套件，請前往 Microsoft Update Catalog 網站。

方法 3： Microsoft 下載中心

您可以透過 Microsoft 下載中心取得獨立更新套件。 請依照下載頁面的安裝指示來安裝更新。

其他資訊

安全性更新部署資訊

如需有關此更新的部署資訊，請參閱 Deployments - Security Update Guide。

安全性更新取代資訊

此安全更新取代先前發布的安全更新 5002540。

檔案雜湊資訊

檔案名稱 SHA256 雜湊
uber-subscription-kb5002564-fullfile-x64-glb.exe F4E1747B580FCF13385E3E51BF8F115A965425788CC1B681080F9EF92D8D0ECD

檔案詳細資訊

下載 安全更新5002564中包含的檔案清單。

有關保護和安全性的資訊

線上自我保護： Windows 安全性支援

了解我們如何防範網路威脅：Microsoft 安全性

變更歷程記錄

下表摘要說明本主題的一些最重要變更。

日期 描述
2024 年 3 月 20 日 新增了「此更新中的已知問題」一節，説明使用者可能會遇到的問題。
2024 年 4 月 9 日 「在此更新中的已知問題」章節中新增新的項目 (無法加入伺服器)。