Microsoft выпускает Out Of Band Security Patch
Сегодня Microsoft выпустила новый бюллетень внешней безопасности, посвященный уязвимости в ASP.NET, которая затрагивает все версии Microsoft .Net Framework при использовании в операционных системах Windows Server или в клиентских системах, которые запускают веб-сервер со своего компьютера.
Хотя это исключает большинство пользователей настольных компьютеров, это все же может повлиять на некоторых, которые запускают веб-серверы на своих настольных системах. Этим пользователям предлагается выполнить обновление сразу после выпуска исправления.
О выпуске: Microsoft сначала сделает исправление безопасности доступным в Microsoft Download, прежде чем оно будет распространено через Центр обновления Windows. Дэйв Форстром, директор Trustworthy Computing, сказал, что пройдет примерно несколько дней, прежде чем обновление будет выпущено в Центре обновления Windows и Windows Server Update.
На данный момент пользователи Windows Server и пользователи Windows-клиентов, использующие веб-сервер, должны монитор Центр загрузки Microsoft для исправления, который будет доступен там позже сегодня.
Администраторы, которым требуется дополнительная информация, могут более внимательно ознакомиться с бюллетенем по безопасности Microsoft, в котором перечислены уязвимые операционные системы, максимальное влияние на безопасность и дополнительная информация об уязвимости.
Это обновление для системы безопасности устраняет опубликованную уязвимость в ASP.NET. Уязвимость может привести к раскрытию информации. Злоумышленник, успешно воспользовавшийся этой уязвимостью, может считывать данные, например состояние просмотра, которые были зашифрованы сервером. Эту уязвимость также можно использовать для подделки данных, которая в случае успешного использования может быть использована для расшифровки и подделки данных, зашифрованных сервером. Версии Microsoft .NET Framework, предшествующие Microsoft .NET Framework 3.5 с пакетом обновления 1 (SP1), не подвержены раскрытию содержимого файлов в рамках этой уязвимости.
Это обновление для системы безопасности имеет уровень «Важный» для всех поддерживаемых выпусков ASP.NET, кроме Microsoft .NET Framework 1.0 с пакетом обновления 3. Дополнительные сведения см. В подразделе «Подвержены и не подвержены уязвимости» этого раздела.
Обновление для системы безопасности устраняет уязвимость, дополнительно подписывая все данные, зашифрованные ASP.NET. Дополнительные сведения об уязвимости см. В подразделе «Часто задаваемые вопросы» (FAQ) для конкретной записи об уязвимости в следующем разделе «Информация об уязвимости».
Пользователи клиентов Windows, у которых нет веб-сервера, не подвержены данной уязвимости. Некоторые, тем не менее, могут захотеть рассмотреть возможность установки обновления.
