发布日期：2017 年 1 月 10 日
版本：1.0
执行摘要Microsoft 即将发布此安全公告，以便披露身份模型扩展 5.1.0 公共版本中的漏洞信息。此公告还提供了开发人员可采取操作的相
关指南，以帮助确保正确更新其应用。
Microsoft 知道 Microsoft.IdentityModel.Tokens 5.1.0 公共版本中的安全漏洞，其中使用对称密钥签名的令牌可能容易受到篡改。
如果使用对称密钥签名的令牌用于验证用户的身份，并且应用基于该用户的经验证的身份做出决定，则应用可能做出不正确的决
定，导致特权提升。
建议开发人员更新所有应用以使用软件包版本 5.1.1。
公告常见问题解答如何知晓我受到了影响？
.NET 具有两类不同的依赖关系：直接和传递。如果 .NET Framework 或 .NET Core 项目与“受影响的软件”部分中列出的任何受
影响程序包存在直接或传递依赖关系，则可能会受影响。
直接依赖关系专门将程序包添加到项目中时会发生直接依赖关系。例如，如果将 Microsoft.IdentityModel.Tokens 程序包添加到项目中，则将采
用 Microsoft.IdentityModel.Tokens 上的直接依赖关系。
通过查看 project.json 或 .proj 文件可发现直接依赖关系。
传递依赖关系将程序包添加到项目中且此项目又依赖于另一程序包时，会发生传递依赖关系。
传递依赖关系可在 Microsoft Visual Studio 解决方案资源管理器窗口（此窗口支持搜索）中进行查看，或者通过查看项目根目录中
包含的 project.lock.json 文件来进行查看。此文件包含项目的程序包授权列表。
如何修复受影响的应用？你需要修复直接依赖关系以及查看并修复任何传递依赖关系。易受攻击程序包的版本 5.1.1 包含保护应用所需的修补程序。