TACERT台灣學術網路危機處理中心

※安全通報資訊

安全通報類型	微軟安全通報
發佈日期	2014-02-12
標題	.NET Framework 中的資訊安全風險可能會允許權限提高
CVE	CVE-2014-0253、CVE-2014-0257、CVE-2014-0295
BID
影響平台	Microsoft .NET Framework 1.0 Service Pack 3、Microsoft .NET Framework 1.1 Service Pack 1、Microsoft .NET Framework 2.0 Service Pack 2、Microsoft .NET Framework 3.5、Microsoft .NET Framework 3.5.1、Microsoft .NET Framework 4、Microsoft .NET Framework 4.5 和 Microsoft .NET Framework 4.5.1
說明	這個資訊安全更新可解決 Microsoft .NET Framework 中兩項公開揭露的資訊安全風險和一項未公開報告的資訊安全風險。如果使用者造訪蓄意製作的網站或含有蓄意製作網頁內容的網站，則最嚴重的資訊安全風險可能會允許權限提高。但是，攻擊者無法強迫使用者造訪這類網站，而一般的做法是讓使用者點選電子郵件訊息或 Instant Messenger 訊息中連往攻擊者網站的連結，以引誘使用者造訪受影響的網站。此資訊安全更新會修正 Microsoft .NET Framework 終止由用戶端啟動且失效或關閉之 HTTP 要求的方式、改善 Microsoft .NET Framework 認定方法安全可執行的方式，並確保 Microsoft .NET Framework 適當實作位址空間隨機載入 (ASLR)，進而解決上述資訊安全風險。
解決方式	此資訊安全更新會修正 Microsoft .NET Framework 終止由用戶端啟動且失效或關閉之 HTTP 要求的方式、改善 Microsoft .NET Framework 認定方法安全可執行的方式，並確保 Microsoft .NET Framework 適當實作位址空間隨機載入 (ASLR)，進而解決上述資訊安全風險。
相關資訊連結	https://technet.microsoft.com/zh-tw/security/bulletin/ms14-009
相關修正資訊連結	https://technet.microsoft.com/zh-tw/security/bulletin/ms14-009