Microsoft Security Bulletin MS16-035 – Viktigt

Säkerhetsuppdatering för .NET Framework för att hantera förbikoppling av säkerhetsfunktioner (3141780)

Publicerad: 8 mars 2016 | Uppdaterad: 8 november 2016

Version: 2.6

Sammanfattning

Den här säkerhetsuppdateringen löser en säkerhetsrisk i Microsoft .NET Framework. Det finns en förbikoppling av säkerhetsfunktionen i en .NET Framework-komponent som inte verifierar vissa element i ett signerat XML-dokument korrekt.

Den här säkerhetsuppdateringen klassificeras som Viktig för Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.0 Service Pack 2, Microsoft .NET Framework 3.5, Microsoft .NET Framework 3.5.1, Microsoft .NET Framework 4.5.2, Microsoft .NET Framework 4.6 och Microsoft .NET Framework 4.6.1 på berörda versioner av Microsoft Windows. Mer information finns i avsnittet Berörd programvara .

Uppdateringen åtgärdar säkerhetsrisken genom att korrigera hur .NET Framework validerar XML-dokument. Mer information om säkerhetsrisken finns i avsnittet Sårbarhetsinformation .

Mer information om den här uppdateringen finns i Microsoft Knowledge Base-artikeln 3141780.

Berörda klassificeringar av programvara och sårbarhetsgrader

Följande programvaruversioner eller utgåvor påverkas. Versioner eller utgåvor som inte visas har antingen passerat sin supportlivscykel eller påverkas inte. Information om hur du fastställer supportlivscykeln för din programvaruversion eller utgåva finns i Microsoft Support Lifecycle.

De allvarlighetsgradsklassificeringar som anges för varje berörd programvara förutsätter den potentiella maximala effekten av sårbarheten. Information om sannolikheten, inom 30 dagar efter att säkerhetsbulletinen släpptes, för sårbarhetens sårbarhets exploaterbarhet i förhållande till dess allvarlighetsgrad och säkerhetspåverkan, finns i översikten över sårbarhetsindexet för sårbarhet i mars.

^[1]Information om ändringar i stöd för .NET Framework 4.x finns i Supportmeddelanden för Internet Explorer och .NET Framework 4.x.

^[2]Windows RT 8.1-uppdateringar är endast tillgängliga via Windows Update.

^[3]Windows 10-uppdateringar är kumulativa. Förutom att de innehåller icke-säkerhetsuppdateringar innehåller de även alla säkerhetskorrigeringar för alla windows 10-drabbade säkerhetsrisker som levereras med den månatliga säkerhetsversionen. Uppdateringarna är tillgängliga via Microsoft Update Catalog.

Observera att Windows Server Technical Preview 4 påverkas. Kunder som kör det här operativsystemet uppmanas att tillämpa uppdateringen, som är tillgänglig via Windows Update.

Vanliga frågor och svar om uppdateringar

Varför släpptes den här bulletinen igen den 10 maj 2016?
För att åtgärda vissa utskriftsproblem som kunder kan ha upplevt när de har installerat säkerhetsuppdateringarna för Microsoft .NET Framework 4.5.2 eller Microsoft .NET Framework 4.6/4.6.1 har uppdateringarna för dessa versioner av Microsoft .NET Framework släppts på nytt på följande sätt:

• Uppdateringarna för Microsoft .NET Framework 4.5.2 har släppts på nytt till LDR-kunder (Limited Distribution Release).
• Uppdateringarna för Microsoft .NET Framework 4.6/4.6.1 har återsläppts till alla kunder.

Observera att dessa återutgåvor är tillgängliga via Windows Update och Microsoft Update Catalog.

Hur gör jag för att avgöra vilken version av Microsoft .NET Framework som är installerad?
Du kan installera och köra flera versioner av .NET Framework på ett system, och du kan installera versionerna i valfri ordning. Det finns flera sätt att avgöra vilka versioner av .NET Framework som för närvarande är installerade. Mer information finns i Artikeln om Microsoft Knowledge Base 318785.

Det finns flera uppdateringspaket tillgängliga för en del av den berörda programvaran. Behöver jag installera alla uppdateringar som anges i tabellen Påverkad programvara för programvaran?
Ja. Kunder bör tillämpa alla uppdateringar som erbjuds för programvaran som är installerad på deras system.

Behöver jag installera dessa säkerhetsuppdateringar i en viss sekvens?
Nej. Flera uppdateringar för ett visst system kan tillämpas i valfri sekvens.

Information om säkerhetsrisker

.NET XML-verifieringssäkerhetsfunktionen kringgås – CVE-2016-0132

Det finns en säkerhetsfunktion som kringgår sårbarheten i en .NET Framework-komponent som inte verifierar vissa element i ett signerat XML-dokument korrekt. En angripare som har utnyttjat säkerhetsrisken kan ändra innehållet i en XML-fil utan att ogiltigförklara signaturen som är associerad med filen. Om ett .NET-program förlitar sig på att signaturen är icke-skadlig kan programmets beteende bli oförutsägbart. I anpassade program beror säkerhetspåverkan på det specifika användningsscenariot.

I ett .NET-programattackscenario kan en angripare ändra innehållet i en XML-fil utan att ogiltigförklara signaturen som är associerad med filen. Uppdateringen åtgärdar säkerhetsrisken genom att korrigera hur .NET Framework validerar XML-dokument.

Följande tabell innehåller länkar till standardposten för varje sårbarhet i listan Vanliga sårbarheter och exponeringar:

Mildrande faktorer

Microsoft har inte identifierat några förmildrande faktorer för den här sårbarheten.

Provisoriska lösningar

Microsoft har inte identifierat några lösningar på den här säkerhetsrisken.

Distribution av säkerhetsuppdatering

Information om distribution av säkerhetsuppdateringar finns i artikeln Microsoft Knowledge Base som refereras i sammanfattningen.

Tack

Microsoft känner igen insatserna från de i säkerhetscommunityn som hjälper oss att skydda kunder genom samordnad avslöjande av säkerhetsrisker. Mer information finns i Bekräftelser .

Friskrivning

Informationen som tillhandahålls i Microsoft Knowledge Base tillhandahålls "som den är" utan garanti av något slag. Microsoft frånsäger sig alla garantier, antingen uttryckliga eller underförstådda, inklusive garantier för säljbarhet och lämplighet för ett visst syfte. Under inga omständigheter ska Microsoft Corporation eller dess leverantörer vara ansvariga för eventuella skador, inklusive direkta, indirekta, tillfälliga, följdskador, förlust av företagsvinster eller särskilda skador, även om Microsoft Corporation eller dess leverantörer har informerats om risken för sådana skador. Vissa stater tillåter inte undantag eller begränsning av ansvar för följdskador eller oförutsedda skador, så den föregående begränsningen kanske inte gäller.

Revideringar

• V1.0 (8 mars 2016): Bulletin publicerad.
• V2.0 (10 maj 2016): Den reviderade bulletinen för att meddela säkerhetsuppdateringarna för Microsoft .NET Framework 4.5.2 och Microsoft .NET Framework 4.6/4.6.1 har återutgivits för att åtgärda problem med vissa utskriftsscenarier. Återreleaserna är tillgängliga via Windows Update och Microsoft Update Catalog. Observera att den här återversionen endast gäller för LDR-kunder (Begränsad distributionsversion). GDR-kunder (General Distribution Release) påverkas inte. Mer information om de specifika säkerhetsuppdateringar som släpptes på nytt finns i avsnittet Vanliga frågor och svar om uppdateringar i den här bulletinen (MS16-035).
• V2.1 (18 maj, 2016): Reviderad bulletin för att klargöra distributionspubliken för Microsoft .NET Framework 4.5.2 och Microsoft .NET Framework 4.6/4.6.1 säkerhetsuppdateringar som återutgavs den 10 maj 2016 enligt följande: Säkerhetsuppdateringarna för Microsoft .NET Framework 4.5.2 har återutgivits till LDR-kunder (Limited Distribution Release). Säkerhetsuppdateringarna för Microsoft .NET Framework 4.6/4.6.1 har släppts på nytt till alla kunder.
• V2.2 (13 juli 2016): Reviderad bulletin för att informera kunderna om att den 3135996 uppdateringen har uppdaterats. Detta är endast ett informationsmeddelande. Kunder som redan har installerat uppdateringen behöver inte vidta några ytterligare åtgärder.
• V2.3 (11 augusti 2016): Reviderad bulletin för att tillkännage en identifieringsändring för att korrigera ett erbjudandeproblem för 3135996. Detta är endast en identifieringsändring. Det fanns inga ändringar i uppdateringsfilerna. Kunder som redan har installerat uppdateringen behöver inte vidta några åtgärder.
• V2.4 (11 augusti 2016): Förtydligande av rev note v2.3 – En nyare version av uppdatering 3135996 gjordes tillgänglig för alla kunder, inte bara LDR-kunder (Limited Distribution Release). Vissa kunder kanske inte har erbjudits den senaste versionen mellan 2016-07-13 och 2016-08-11. Den senaste versionen av uppdateringen 3135996 som släpptes den 2016-08-11 kommer att ge kunderna ett uppdaterat tillstånd.
• V2.5 (11 oktober 2016): Reviderad bulletin för att meddela säkerhetsuppdateringarna 3135994 och 3135995 för Microsoft .NET Framework 4.5.2 på Windows Server 2012, Windows 8.1 och Windows Server 2012 R2 har återutlånats till WSUS-kanalen exklusivt. Den här återversionen gäller inte för Windows Update- eller Microsoft Update Catalog-kunder. Den här återutgåvan åtgärdar ett erbjudandeproblem som hindrade vissa GDR-kunder i WSUS-miljöer från att ta emot dessa uppdateringar om de hade aktiverat funktionen "neka uppdateringar automatiskt när en ny revision gör att de upphör att gälla". Det finns inga ändringar i filnyttolasten. Om kunderna redan har distribuerat uppdateringar 3135994 och 3135995 behöver de inte vidta några åtgärder.
• V2.6 (8 november 2016): Reviderad bulletin för att meddela att en identifieringsändring gjordes för att ta hänsyn till .NET Framework 4.6.1-snabbkorrigeringskunder som inte erbjöds säkerhetsuppdateringar för .NET Framework 4.6.1 korrekt.

Sidan genererades 2016-11-28 12:58-08:00.