Microsoft .NET Framework 的安全更新(2019 年 7 月)

high Nessus 插件 ID 126600

简介

远程主机上安装的 Microsoft .NET Framework 受到多个漏洞的影响。

描述

远程主机上安装的 Microsoft .NET Framework 缺少安全更新。因而会受到多个漏洞的影响:- Windows Communication Foundation (WCF) 和 Windows Identity Foundation (WIF) 中存在认证绕过漏洞,允许以任意对称密钥签署 SAML 标记。此漏洞允许攻击者冒充另一名用户,进而导致权限提升。此漏洞存在于 .NET Framework 中的 WCF、WIF 3.5 和更高版本、Windows 中的 WIF 1.0 组件、WIF Nuget 程序包及 SharePoint 中的 WIF 实现中。未经身份验证的攻击者可以任意对称密钥签署 SAML 标记,以恶意利用此漏洞。此安全性更新通过确保所有 WCF 和 WIF 版本,都能正确验证用来签署 SAML 标记的密钥,来解决此问题。(CVE-2019-1006) - 当 .NET 软件无法检查文件的源标记时,存在远程代码执行漏洞。成功利用此漏洞的攻击者可在当前用户环境中运行任意代码。如果当前用户使用管理用户权限进行登录,攻击者可控制受影响系统。然后,攻击者可安装程序、查看/更改/删除数据或创建具有完全用户权限的新帐户。(CVE-2019-1113) - Microsoft Common Object Runtime Library 未正确处理 Web 请求时,存在拒绝服务漏洞。成功利用此漏洞的攻击者可导致拒绝对 .NET Web 应用程序的服务。未经身份验证的远程攻击者可通过向 .NET 应用程序提出特制的请求,以利用此漏洞。此更新通过更正 .NET Web 应用程序处理 Web 请求的方式修复漏洞。(CVE-2019-1083)

解决方案

Microsoft 已发布用于 Microsoft .NET Framework 的安全更新。

另见

http://www.nessus.org/u?3bfac69e

http://www.nessus.org/u?dd6e86c0

http://www.nessus.org/u?9bd4e25a

http://www.nessus.org/u?858ef63b

http://www.nessus.org/u?0de7f142

http://www.nessus.org/u?8b8b7b50

http://www.nessus.org/u?eb25ce98

http://www.nessus.org/u?1e436e1f

http://www.nessus.org/u?2123a8a4

http://www.nessus.org/u?fef03323

http://www.nessus.org/u?ce4aeddd

http://www.nessus.org/u?8d3a86a9

http://www.nessus.org/u?f489340c

http://www.nessus.org/u?ff0c98be

http://www.nessus.org/u?7a0ad909

http://www.nessus.org/u?4741f3da

http://www.nessus.org/u?ccd5eb26

http://www.nessus.org/u?df72c2c1

http://www.nessus.org/u?dfda1841

插件详情

严重性: High

ID: 126600

文件名: smb_nt_ms19_jul_dotnet.nasl

版本: 1.5

类型: local

代理: windows

发布时间: 2019/7/10

最近更新时间: 2021/6/3

支持的传感器: Nessus

风险信息

VPR

风险因素: High

分数: 7.4

CVSS v2

风险因素: Medium

基本分数: 6.8

时间分数: 5

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2019-1113

CVSS v3

风险因素: High

基本分数: 8.8

时间分数: 7.7

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/a:microsoft:.net_framework

必需的 KB 项: SMB/MS_Bulletin_Checks/Possible

易利用性: No known exploits are available

补丁发布日期: 2019/7/9

漏洞发布日期: 2019/7/9

参考资料信息

CVE: CVE-2019-1006, CVE-2019-1083, CVE-2019-1113

BID: 108977, 108981

IAVA: 2019-A-0240-S

MSFT: MS19-4506986, MS19-4506987, MS19-4506988, MS19-4506989, MS19-4506991, MS19-4507411, MS19-4507412, MS19-4507413, MS19-4507414, MS19-4507419, MS19-4507420, MS19-4507421, MS19-4507422, MS19-4507423, MS19-4507435, MS19-4507450, MS19-4507455, MS19-4507458, MS19-4507460

MSKB: 4506986, 4506987, 4506988, 4506989, 4506991, 4507411, 4507412, 4507413, 4507414, 4507419, 4507420, 4507421, 4507422, 4507423, 4507435, 4507450, 4507455, 4507458, 4507460