微软安全中心公告：dotnet爆高危远程执行漏洞

3月10日微软发布安全公告，通报了.NET架构组件System.Text.Encodings.Web远程执行漏洞。影响范围包括NET 5.0，.NETCore3.1和.NET Core 2.1。

由于执行文本编码的方式，.NET 5和.NET Core中存在一个远程执行代码漏洞。

缓解方法

Microsoft尚未发现此漏洞的任何缓解因素。

影响范围

该漏洞影响的程序包是System.Text.Encodings.Web。升级软件包并重新部署应用程序，以解决问题。目前对应的安全版本为4.5.1,4.7.7和5.0.1。

基于.NET 5，.NET Core或.NETFramework，使用System.Text.Encodings.Web程序包发布的人任何的应用程序。

注意，.NET Core 3.0已停止支持，所有应用程序都应更新为3.1。

漏洞检测

漏洞可以根据当前使用的版本来检测，列出的版本的运行时或SDK，对比上面列出的受影响的版本范围。通过cmd运行dotnet--info命令列出已安装的版本命令,命令输出类似以下信息。

漏洞解决

要解决此问题，需要安装的.NET 5.0，.NET Core 3.1或.NET Core2.1的最新版本。如果VisualStudio中安装了一个或多个.NET Core SDK，VS会提示更新Visual Studio，还会自动更新.NETCore SDK。

• 对于.NET 5.0，请下载并安装Runtime 5.0.4或SDK 5.0.104(适用于Visual Studio 2019 v16.8) 。
• 对.NET Core 3.1，则应下载并安装Runtime 3.1.13或SDK 3.1.113(适用于Visual Studio 2019v16.4)或3.1.406(适用于Visual Studio 2019 v16.5或更高版本)
• 对.NET Core 2.1，则应下载并安装Runtime 2.1.26或SDK 2.1.522(适用于Visual Studio 2019v15.9)或2.1.814。

Microsoft Update也提供.NET 5.0，.NET Core 3.1和.NETCore2.1更新。要访问此文件，请在Windows搜索中键入“检查更新”，或打开“设置”，选择“更新和安全性”，然后单击“检查更新”。

安装更新的运行时或SDK后，请重新启动应用程序以使更新生效。

对于已部署的独立的应用程序，针对任何受影响的版本 ，则这些应用程序也容易受到攻击,必须重新编译和重新部署。

鸿蒙官方战略合作共建——HarmonyOS技术社区