.NET : Microsoft publie un correctif
à appliquer d'urgence

Le , par Gordon Fowler, Expert éminent sénior


La semaine dernière, quatre failles avaient été découvertes dans .NET. Pour trois d'entre elles, les détails ont été gardés confidentiels par Microsoft pour éviter des exploits zero-days.

Aujourd’hui, l’éditeur publie un correctif sans attendre les cycles de mises à jour habituels. Un correctif qu’il conseille évidemment d’appliquer dans les plus brefs délais.

Les vulnérabilités corrigées concernent toutes les plateformes (WX, Windows 7, Vista, Server 2003, 2008 et 2008 R2). Ces failles permettaient une « élévation des privilèges », autrement dit elles permettaient à un utilisateur d'obtenir des privilèges supérieurs pour devenir par exemple administrateur du système.

Les sites en ASP.NET sont particulièrement concernés.

La mise à jour du framework se fera automatiquement via Windows Update. Mais si celui-ci a été désactivé, Microsoft recommande de lancer manuellement Microsoft Update pour appliquer le patch.

Source : Microsoft Security Bulletin


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de CHbox CHbox - Membre confirmé https://www.developpez.com
le 02/01/2012 à 14:23
Je vais profiter de cette news pour faire mon premier post sur ce site (que je fréquente depuis un moment maintenant, mais l'heure n'est pas aux compliments).

Cette maj amène une petite surprise, Microsoft a rajouté un paramètre dans le Web.config (invisible), nommé "MaxHttpCollectionKeys", limitant le maximum d'input pouvant être envoyés dans une requête HTTP POST à 1000. Ça ne posera surement pas de problème à la majorité des sites car 1000 input ça fait quand même pas mal, mais je pense que certains intranet notamment (dont celui sur lequel nous travaillons actuellement) vont être impactés, surtout ceux gérant de grosses masses de données.

Quoiqu'il en soit, il est heureusement possible de modifier ce paramètre dans le Web.config, en rajoutant cette ligne:

Code : Sélectionner tout
1
2
3
4
 <appSettings> 
    ... 
    <add key="aspnet:MaxHttpCollectionKeys" value="100000"/> 
  </appSettings>
Cette Maj nous a fait perdre 2h vendredi derniers car il était assez difficile de trouver cette information (en mettant le mot clé "MaxHttpCollectionKeys", nous avions 1 seul résultat Google, un exploit en soit ), heureusement nous sommes encore en phase de développement, je sent que certaines entreprises vont grincer les dents dans les jours qui viennent.
Avatar de Thes32 Thes32 - Expert confirmé https://www.developpez.com
le 03/01/2012 à 17:10
Citation Envoyé par CHbox  Voir le message
Je vais profiter de cette news pour faire mon premier post sur ce site (que je fréquente depuis un moment maintenant, mais l'heure n'est pas aux compliments).

Cette maj amène une petite surprise, Microsoft a rajouté un paramètre dans le Web.config (invisible), nommé "MaxHttpCollectionKeys", limitant le maximum d'input pouvant être envoyés dans une requête HTTP POST à 1000. Ça ne posera surement pas de problème à la majorité des sites car 1000 input ça fait quand même pas mal, mais je pense que certains intranet notamment (dont celui sur lequel nous travaillons actuellement) vont être impactés, surtout ceux gérant de grosses masses de données.

Quoiqu'il en soit, il est heureusement possible de modifier ce paramètre dans le Web.config, en rajoutant cette ligne:

Code : Sélectionner tout
1
2
3
4
 <appSettings> 
    ... 
    <add key="aspnet:MaxHttpCollectionKeys" value="100000"/> 
  </appSettings>
Cette Maj nous a fait perdre 2h vendredi derniers car il était assez difficile de trouver cette information (en mettant le mot clé "MaxHttpCollectionKeys", nous avions 1 seul résultat Google, un exploit en soit ), heureusement nous sommes encore en phase de développement, je sent que certaines entreprises vont grincer les dents dans les jours qui viennent.

Si je comprends bien ce paramètre a été ajouté suite à la nouvelle découverte d'une faille de sécurité sur la plupart des langages de programmation utilisés sur le web qui exploitent les hash tables, le hashDos.

Plus d'infos sur https://cryptanalysis.eu/blog/2011/1...forms-hashdos/

PHP a corrigé cette faille en ajoutant la directive max_input_vars dans sa version 5.4. Un résumé sur les langages/technos atteints se trouve sur le site http://www.ocert.org/advisories/ocert-2011-003.html
Avatar de ocram59290 ocram59290 - Nouveau membre du Club https://www.developpez.com
le 03/01/2012 à 17:50
Bonjour,

il y a un reboot pour cette mise à jour ?
Avatar de Galactus13 Galactus13 - Nouveau Candidat au Club https://www.developpez.com
le 04/01/2012 à 15:37
Bonjour et bonne année !!!

Plus sérieusement, moi non plus, je lis beaucoup mais je poste rarement !

Juste pour dire que de toute façon, il y aura toujours des failles que les vilains pas beaux trouveront et utiliseront à leurs profit !
Pour ma part, j'ai toujours pensé qu'avant de faire une nouvelle version d'une plate forme, il valait mieux justement faire en sorte que cette plate forme soit 100% fiable et sans bug ! ce qui n'est pas le cas encore aujourd'hui !
m’en-fin, le bizness étant ce qu'il est !
Avatar de sawyer20 sawyer20 - Candidat au Club https://www.developpez.com
le 01/02/2012 à 21:48
Désolé de uppé !!

Mais nous avons un problème lorsque nous sommes en Debug avec cette clé dans VS 2010, où nous avons beaucoup d'objet à affiché sur certain page web, VS plante et notre ordinateur deviens excessivement lent.

Je voudrais savoir pourquoi cela se produit ?

J'ai mis la clé à 20000 et développons en asp.net.
Avatar de Sergejack Sergejack - Membre éprouvé https://www.developpez.com
le 02/03/2012 à 14:30
C'est abusé que Microsoft n'avertisse pas un minimum l'utilisateur XD
Offres d'emploi IT
Développeur c#, .net technologies microsoft
VOCALCOM - Ile de France - Paris (75017
Full stack web developer h/f
Multiposting - Ile de France - Paris (75000)
Responsable technique JEE H/F
COOPTALIS - Nord Pas-de-Calais - Lille

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil