IdentifiantMot de passe
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

.NET : Microsoft publie un correctif
à appliquer d'urgence

Le , par Gordon Fowler
6 commentaires

5PARTAGES

1  0 


La semaine dernière, quatre failles avaient été découvertes dans .NET. Pour trois d'entre elles, les détails ont été gardés confidentiels par Microsoft pour éviter des exploits zero-days.

Aujourd’hui, l’éditeur publie un correctif sans attendre les cycles de mises à jour habituels. Un correctif qu’il conseille évidemment d’appliquer dans les plus brefs délais.

Les vulnérabilités corrigées concernent toutes les plateformes (WX, Windows 7, Vista, Server 2003, 2008 et 2008 R2). Ces failles permettaient une « élévation des privilèges », autrement dit elles permettaient à un utilisateur d'obtenir des privilèges supérieurs pour devenir par exemple administrateur du système.

Les sites en ASP.NET sont particulièrement concernés.

La mise à jour du framework se fera automatiquement via Windows Update. Mais si celui-ci a été désactivé, Microsoft recommande de lancer manuellement Microsoft Update pour appliquer le patch.

Source : Microsoft Security Bulletin

Une erreur dans cette actualité ? Signalez-nous-la !

6 commentaires
Commenter Signaler un problème
CHbox
Avatar de CHbox
Membre confirmé https://www.developpez.com
Le 02/01/2012 à 14:23
Je vais profiter de cette news pour faire mon premier post sur ce site (que je fréquente depuis un moment maintenant, mais l'heure n'est pas aux compliments).

Cette maj amène une petite surprise, Microsoft a rajouté un paramètre dans le Web.config (invisible), nommé "MaxHttpCollectionKeys", limitant le maximum d'input pouvant être envoyés dans une requête HTTP POST à 1000. Ça ne posera surement pas de problème à la majorité des sites car 1000 input ça fait quand même pas mal, mais je pense que certains intranet notamment (dont celui sur lequel nous travaillons actuellement) vont être impactés, surtout ceux gérant de grosses masses de données.

Quoiqu'il en soit, il est heureusement possible de modifier ce paramètre dans le Web.config, en rajoutant cette ligne:

Code : Sélectionner tout 
1
2
3
4
 <appSettings>
    ...
    <add key="aspnet:MaxHttpCollectionKeys" value="100000"/>
  </appSettings>
Cette Maj nous a fait perdre 2h vendredi derniers car il était assez difficile de trouver cette information (en mettant le mot clé "MaxHttpCollectionKeys", nous avions 1 seul résultat Google, un exploit en soit ), heureusement nous sommes encore en phase de développement, je sent que certaines entreprises vont grincer les dents dans les jours qui viennent.
5  0 
Thes32
Avatar de Thes32
Expert confirmé https://www.developpez.com
Le 03/01/2012 à 17:10
Citation Envoyé par CHbox Voir le message
Je vais profiter de cette news pour faire mon premier post sur ce site (que je fréquente depuis un moment maintenant, mais l'heure n'est pas aux compliments).

Cette maj amène une petite surprise, Microsoft a rajouté un paramètre dans le Web.config (invisible), nommé "MaxHttpCollectionKeys", limitant le maximum d'input pouvant être envoyés dans une requête HTTP POST à 1000. Ça ne posera surement pas de problème à la majorité des sites car 1000 input ça fait quand même pas mal, mais je pense que certains intranet notamment (dont celui sur lequel nous travaillons actuellement) vont être impactés, surtout ceux gérant de grosses masses de données.

Quoiqu'il en soit, il est heureusement possible de modifier ce paramètre dans le Web.config, en rajoutant cette ligne:

Code : Sélectionner tout 
1
2
3
4
 <appSettings>
    ...
    <add key="aspnet:MaxHttpCollectionKeys" value="100000"/>
  </appSettings>
Cette Maj nous a fait perdre 2h vendredi derniers car il était assez difficile de trouver cette information (en mettant le mot clé "MaxHttpCollectionKeys", nous avions 1 seul résultat Google, un exploit en soit ), heureusement nous sommes encore en phase de développement, je sent que certaines entreprises vont grincer les dents dans les jours qui viennent.
Si je comprends bien ce paramètre a été ajouté suite à la nouvelle découverte d'une faille de sécurité sur la plupart des langages de programmation utilisés sur le web qui exploitent les hash tables, le hashDos.

Plus d'infos sur https://cryptanalysis.eu/blog/2011/1...forms-hashdos/

PHP a corrigé cette faille en ajoutant la directive max_input_vars dans sa version 5.4. Un résumé sur les langages/technos atteints se trouve sur le site http://www.ocert.org/advisories/ocert-2011-003.html
1  0 
ocram59290
Avatar de ocram59290
Nouveau membre du Club https://www.developpez.com
Le 03/01/2012 à 17:50
Bonjour,

il y a un reboot pour cette mise à jour ?
0  0 
sawyer20
Avatar de sawyer20
Candidat au Club https://www.developpez.com
Le 01/02/2012 à 21:48
Désolé de uppé !!

Mais nous avons un problème lorsque nous sommes en Debug avec cette clé dans VS 2010, où nous avons beaucoup d'objet à affiché sur certain page web, VS plante et notre ordinateur deviens excessivement lent.

Je voudrais savoir pourquoi cela se produit ?

J'ai mis la clé à 20000 et développons en asp.net.
0  0 
Sergejack
Avatar de Sergejack
Membre éprouvé https://www.developpez.com
Le 02/03/2012 à 14:30
C'est abusé que Microsoft n'avertisse pas un minimum l'utilisateur XD
0  0 
Galactus13
Avatar de Galactus13
Membre à l'essai https://www.developpez.com
Le 04/01/2012 à 15:37
Bonjour et bonne année !!!

Plus sérieusement, moi non plus, je lis beaucoup mais je poste rarement !

Juste pour dire que de toute façon, il y aura toujours des failles que les vilains pas beaux trouveront et utiliseront à leurs profit !
Pour ma part, j'ai toujours pensé qu'avant de faire une nouvelle version d'une plate forme, il valait mieux justement faire en sorte que cette plate forme soit 100% fiable et sans bug ! ce qui n'est pas le cas encore aujourd'hui !
m’en-fin, le bizness étant ce qu'il est !
0  2 
Commenter Signaler un problème