CVE-2020-1147

Описание

Злоумышленник, успешно эксплуатировавший уязвимость, способен выполнить произвольный код в процессе десериализации XML-содержимого.

Условия эксплуатации

Для эксплуатации этой уязвимости злоумышленник может загрузить специально созданный документ на сервер, использующий уязвимый продукт для обработки содержимого.

Решение

Обновление безопасности устраняет уязвимость, корректируя то, как .NET Framework, Microsoft SharePoint и Visual Studio верифицируют исходную разметку XML-содержимого.

Часто задаваемые вопросы (FAQ)

Я использую Windows Server 2008, Windows 7 или Windows Server 2008 R2 и не могу установить накопительное или только обновление безопасности для любой из версий 4.X Microsoft .NET Framework. Как мне защитить свою систему от этой уязвимости?

Существует известная проблема с обновлениями безопасности Monthly Rollup и Security Only для версий 4.X .NET Framework, установленными на Windows Server 2008, Windows 7 и Windows Server 2008 R2. Для обходного решения этой проблемы, пожалуйста, ознакомьтесь с статьей, указанной в таблице обновлений безопасности для версии .NET Framework, которую вы пытаетесь установить.

Где проявляется эта уязвимость?

Уязвимость найдена в типах DataSet и DataTable, которые являются компонентами .NET, используемыми для управления наборами данных.

Где я могу найти дополнительные рекомендации для разработчиков по безопасному использованию типов DataSet или DataTable?

Обновленное руководство по безопасности можно найти на MSDN по ссылке - Обновленное руководство по безопасности

Какие обновления необходимо установить, чтобы полностью защитить систему от этой уязвимости?

Полная защита требует установки обновления .NET Framework, а также обновлений для любых дополнительных затронутых продуктов, упомянутых в этой статье.