Microsoft .NET Framework szolgáltatás megtagadás és típus váltási sérülékenységek

CH azonosító

CH-10535

Angol cím

Microsoft .NET Framework Denial of Service and Type Traversal Vulnerabilities

Felfedezés dátuma

2014.02.10.

Súlyosság

Magas

Érintett rendszerek

.NET Framework
Microsoft

Érintett verziók

Microsoft .NET Framework 1.x, 2.x, 3.x, 4.x

Összefoglaló

A Microsoft .NET Framework két sérülékenységét jelentették, amelyeket kihasználva a támadók szolgáltatás megtagadást (DoS – Denial of Service) idézhetnek elő, és megkerülhetnek bizonyos biztonsági korlátozásokat.

Leírás

  1. Az ASP.NET nem megfelelően azonosítja a nem használt HTTP kapcsolatokat, ami kihasználható a kapcsolati pool túlterhelésére speciálisan formázott POST kérések küldésével.
  2. A .NET framework-ben, bizonyos COM objektumok kezelése közben jelentkező hiba kihasználható a sandbox korlátozások megkerülésére, majd pl. kiterjesztett jogosultságokkal történő kódfuttattásra.

Továbbá létezik egy sérülékenység, ami kihasználható az ASLR biztonsági funkció megkerülésére.

Megoldás

Frissítsen a legújabb verzióra