发布时间：2015 年 9 月 8 日 | 更新时间：2016 年 2 月 9 日
版本： 1.2
执行摘要此安全更新程序修复了 Microsoft .NET Framework 中的多个漏洞。如果用户运行经特殊设计的 .NET 应用程序，则最严重的漏洞可能允许特权提升。但是，在所有情况下，攻击者无法强迫用户运行应用程序，攻击者必须说服用户执行此类操作。
对于 Microsoft Windows 受影响版本上的 Microsoft .NET Framework 2.0 Service Pack 2、Microsoft .NET Framework 3.5、Microsoft .NET Framework 3.5.1、Microsoft .NET Framework 4、Microsoft .NET Framework 4.5、Microsoft .NET Framework 4.5.1 和 Microsoft .NET Framework 4.5.2，此安全更新的等级为“重要”。有关详细信息，请参阅受影响的软件部分。
此安全更新通过更正 .NET Framework 复制内存中对象和处理经特殊设计请求的方式来修复漏洞。有关漏洞的详细信息，请参阅特定漏洞的?常见问题 (FAQ)?小节。
有关此更新的详细信息，请参阅 Microsoft 知识库文章 3089662。
更新程序 FAQ我如何确定安装了哪个版本的 Microsoft .NET Framework？
您可以在一个系统上安装和运行多个版本的 .NET Framework，也可以按任何顺序安装各个版本。有关详细信息，请参阅 Microsoft Knowledge 知识库文章 318785。
.NET Framework 4 和 .NET Framework 4 客户端配置文件有什么区别？
两种配置文件中提供 .NET Framework 版本 4 可再次分发程序包：.NET Framework 4 和 .NET Framework 4 客户端配置文件。.NET Framework 4 客户端配置文件是针对客户端应用程序进行优化的 .NET Framework 4 配置文件的子集。它提供适用于大多数客户端应用程序的功能，包括 Windows Presentation Foundation (WPF)、Windows Forms、Windows Communication Foundation (WCF) 和 ClickOnce 功能。这可加快针对 .NET Framework 4 客户端配置文件的应用程序的部署速度并减小安装程序包。有关详细信息，请参阅 MSDN 文章“.NET Framework 客户端配置文件”。
部分受影响软件有多个更新包可用。是否需要为该软件安装“受影响软件”表中列出的所有更新？
是。客户应安装为系统上所安装软件提供的所有更新。
我需要按特定顺序安装这些安全更新程序吗？
不需要。适用于特定系统的多个更新程序可以按任意顺序进行应用。
.NET Framework 在将内存中的对象复制到阵列之前验证对象数量的方式中存在一个特权提升漏洞。成功利用此漏洞的攻击者可以控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。与拥有管理用户权限的用户相比，帐户被配置为拥有较少系统用户权限的用户受到的影响更小。
此漏洞的利用有两种可能的攻击情形：Web 浏览情形和 Windows .NET 应用程序绕过代码访问安全性 (CAS) 限制。这些情形如下所示：
Web 浏览攻击情形攻击者可能拥有包含可以利用此漏洞的经特殊设计的 XBAP（XAML 浏览器应用程序）的经特殊设计网站，然后诱使用户查看该网站。攻击者还可能利用受到破坏的网站以及接受或宿主用户提供的内容或广告的网站。不过，在所有情况下，攻击者都无法强迫用户访问此类网站，而必须诱使他们进行访问，通常是通过让用户单击 Instant Messenger 消息或电子邮件中的链接转到攻击者的网站。可能的方式还包括使用横幅广告或其他方式显示经特殊设计的 Web 内容，以便将 Web 内容传递至受影响的系统。 Windows .NET Framework 应用程序攻击情形 Windows .NET Framework 应用程序也可能会使用此漏洞绕过代码访问安全性 (CAS) 限制。有两种类型的系统会受到威胁，如下所述：
Web 浏览情形要成功利用此漏洞，需要用户登录并使用能够实例化 XBAP 应用程序的 Web 浏览器访问网站。因此，频繁使用 Web 浏览器的系统（如工作站或终端服务器）受此漏洞的威胁最大。如果管理员允许用户浏览并读取服务器上的电子邮件，则服务器可能面临更大风险。不过，最佳做法是不要授予这样的权限。 Windows .NET 应用程序运行不受信任的 Windows .NET Framework 应用程序的工作站和服务器也受此漏洞的威胁。此更新通过更正 .NET Framework 复制内存中的对象的方式来解决漏洞。此漏洞已公开披露。已为此漏洞分配了常见漏洞和披露号码 CVE-2015-2504。最初发布此安全公告时，Microsoft 并未获悉尝试使用此漏洞的任何攻击。
缓解因素Microsoft 并未发现此漏洞的任何缓解因素。
变通办法Microsoft 尚未对此漏洞确认任何解决方法。
MVC 拒绝服务漏洞 - CVE-2015-2526当 .NET 未正确处理某些经特殊设计的请求时，存在拒绝服务漏洞。成功利用此漏洞的攻击者可以向 ASP.NET 服务器发送少量特制请求，致使性能大幅降低到足以导致拒绝服务条件。
攻击者可能使用此漏洞创建拒绝服务攻击和破坏使用 ASP.NET 站点的可用性。安装了 ASP.NET 的面向 Internet 的系统受此漏洞的威胁最大。使用 ASP.NET 的内部网站也会受此漏洞影响。此更新通过更正 .NET Framework 处理经特殊设计请求的方式来修复此漏洞。
Microsoft 通过协调漏洞披露渠道了解到此漏洞的相关信息。在发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开用于攻击客户的信息。
缓解因素Microsoft 并未发现此漏洞的任何缓解因素。
变通办法Microsoft 尚未对此漏洞确认任何解决方法。
安全更新程序部署有关安全更新程序部署信息，请参阅此处引用的 Microsoft 知识库文章（在“执行摘要”中）。
鸣谢Microsoft 通过协调漏洞披露渠道认可在安全社区中帮助我们对客户进行保护的人们所做出的努力。有关详细信息，请参阅鸣谢部分。
免责声明Microsoft 知识库中的信息“按原样”提供，没有任何形式的担保。Microsoft 不作任何明示或暗示保证，包括对适销性和针对特定用途的适用性的保证。Microsoft Corporation 或其供应商不对任何损害（包括直接的、间接的、偶然的、必然的损害、商业利润损失或特殊损害）承担任何责任，即使 Microsoft Corporation 或其供应商事先已被告知有可能发生此类损害。有些州不允许排除或限制必然或偶然损害的赔偿责任，因此上述限制可能不适用。