微软安全中心公告：dotnet爆高危远程执行漏洞

3月10日微软发布安全公告，通报了.NET架构组件System.Text.Encodings.Web远程执行漏洞。影响范围包括NET 5.0，.NET Core 3.1和.NET Core 2.1。

由于执行文本编码的方式，.NET 5和.NET Core中存在一个远程执行代码漏洞。

[[386833]]

缓解方法

Microsoft尚未发现此漏洞的任何缓解因素。

影响范围

该漏洞影响的程序包是System.Text.Encodings.Web。升级软件包并重新部署应用程序，以解决问题。 目前对应的安全版本为4.5.1,4.7.7和5.0.1。

基于.NET 5，.NET Core或.NET Framework，使用System.Text.Encodings.Web程序包发布的人任何的应用程序。

注意，.NET Core 3.0已停止支持，所有应用程序都应更新为3.1。

漏洞检测

漏洞可以根据当前使用的版本来检测，列出的版本的运行时或SDK，对比上面列出的受影响的版本范围。通过cmd运行dotnet –info命令列出已安装的版本命令,命令输出类似以下信息。

.NET SDK (反映任何 global.json): 
Version: 5.0.201 
Commit: a09bd5c86c 
运行时环境: 
OS Name: Windows 
OS Version: 10.0.18362 
OS Platform: Windows 
RID: win10-x64 
Base Path: C:\Program Files\dotnet\sdk\5.0.201\ 
Host (useful for support): 
Version: 5.0.4 
Commit: f27d337295 
.NET SDKs installed: 
5.0.201 [C:\Program Files\dotnet\sdk] 
.NET runtimes installed: 
Microsoft.AspNetCore.App 5.0.4 [C:\Program Files\dotnet\shared\Microsoft.AspNetCore.App] 
Microsoft.NETCore.App 5.0.4 [C:\Program Files\dotnet\shared\Microsoft.NETCore.App] 
Microsoft.WindowsDesktop.App 5.0.4 [C:\Program Files\dotnet\shared\Microsoft.WindowsDesktop.App] 

漏洞解决

要解决此问题，需要安装的.NET 5.0，.NET Core 3.1或.NET Core 2.1的最新版本。如果Visual Studio中安装了一个或多个.NET Core SDK，VS会提示更新Visual Studio，还会自动更新.NET Core SDK。

• 对于.NET 5.0，请下载并安装Runtime 5.0.4或SDK 5.0.104(适用于Visual Studio 2019 v16.8) 。
• 对.NET Core 3.1，则应下载并安装Runtime 3.1.13或SDK 3.1.113(适用于Visual Studio 2019 v16.4)或3.1.406(适用于Visual Studio 2019 v16.5或更高版本)
• 对.NET Core 2.1，则应下载并安装Runtime 2.1.26或SDK 2.1.522(适用于Visual Studio 2019 v15.9)或2.1.814。

Microsoft Update也提供.NET 5.0，.NET Core 3.1和.NET Core 2.1更新。要访问此文件，请在Windows搜索中键入“检查更新”，或打开“设置”，选择“更新和安全性”，然后单击“检查更新”。

安装更新的运行时或SDK后，请重新启动应用程序以使更新生效。

对于已部署的独立的应用程序，针对任何受影响的版本 ，则这些应用程序也容易受到攻击,必须重新编译和重新部署。