Akutes ASP.NET Sicherheitsproblem - Fixt Eure Applikationen!

Question

http://blogs.technet.com/b/srd/archive/2010/09/17/understanding-the-asp-net-vulnerability.aspx

 

(http://www.microsoft.com/technet/security/advisory/2416728.mspx ist das

Advisory mit Workarounds)

 

Leider haben die Herrschaften diesen Zero Day auf einer Konferenz an

einem Freitag "vorgestellt" (meine Meinung zu dieser Art von

Irresponsible Disclosure halte ich besser hinter dem Berg).

 

Ich möchte betonen daß das ein RIESEN-Sicherheitsloch ist, und daß

man das extraschnell fixen sollte, wer's nicht glaubt:

 

http://www.youtube.com/watch?v=yghiC_U2RaM

 

Chris

UPDATE mittlerweile hat sich auch Scott Guthrie zu Wort gemeldet:

http://weblogs.asp.net/scottgu/archive/2010/09/18/important-asp-net-security-vulnerability.aspx

UPDATE 2

Scott hat eine FAQ gepostet:

http://weblogs.asp.net/scottgu/archive/2010/09/20/frequently-asked-questions-about-the-asp-net-security-vulnerability.aspx

Und es gibt ein spezielles Forum zu dieser Security Issue:

http://forums.asp.net/1233.aspx

 

---

Christoph Wille - MVP ASP.NET, Glengamoi Alumni - Realnamen sind ein Gebot der Höflichkeit in der Community

Answer 1

Hallo zusammen,

Noch ein paar Links zu den ASP.NET Sicherheitsproblem:

·          Schutzempfehlung zu entdeckter ASP.NET-Schwachstelle

·          MSDN-Berater Dariusz Parys bietet in seinem Blog eine kurze Handlungsanweisung in deutscher Sprache.

Grüße,

Robert

Answer 2

Hallo,

der Patch wird heute veröffentlicht, allerdings nicht via Windows Update, sondern zunächst nur über das Downloadcenter:

Out of Band Release to Address Microsoft Security Advisory 2416728
http://blogs.technet.com/b/msrc/archive/2010/09/27/out-of-band-release-to-address-microsoft-security-advisory-2416728.aspx

ASP.NET Security Update Shipping Tuesday, Sept 28th
http://weblogs.asp.net/scottgu/archive/2010/09/27/asp-net-security-update-shipping-tuesday-sept-28th.aspx

[Update] Die Patches sind inzwischen released:

Microsoft Security Bulletin MS10-070 - Important
Vulnerability in ASP.NET Could Allow Information Disclosure (2418042)
http://www.microsoft.com/technet/security/bulletin/MS10-070.mspx

Wie angekündigt zunächst als Download und die nächsten Tage dann via Windows Update.

[Update 2] Scott Guthrie hat in seinem Artikel einige häufig gestellte Fragen zusammengefasst:

ASP.NET Security Update Now Available
http://weblogs.asp.net/scottgu/archive/2010/09/28/asp-net-security-update-now-available.aspx

 [Update 3] Nun auch via Windows Update

ASP.NET Security Fix Now on Windows Update
http://weblogs.asp.net/scottgu/archive/2010/09/30/asp-net-security-fix-now-on-windows-update.aspx

---

Thorsten Dörfler
Microsoft MVP Visual Basic
vb-faq.de