Andrey on .NET

Вышли очередные обновления .NET 6 и 7. В этот раз, кроме исправлений обычных ошибок, было устранено большое количество проблем связанных с безопасностью приложений и самого .NET.

Номера новых версий

• .NET 7.0.7 (SDK - 7.0.304)
• .NET 6.0.18 (SDK - 6.0.410)

Что исправлено?

Исправления проблем с безопасностью

• CVE-2023-24895 – .NET Remote Code Execution Vulnerability

Ошибка позволяла исполнять удаленный код используя особенности обработки элементов XAML.

• CVE-2023-24897 – .NET Remote Code Execution Vulnerability

Исправленная ошибка позволяла выполнять удаленный код используя особенности .NET при чтении отладочных символов.

• CVE-2023-24936 – .NET Elevation of Privilege Vulnerability

Проблема с безопасностью существовала при десериализации DataSet и DataTable из XML и могла приводить к повышению привилегий кода.

• CVE-2023-29331 – .NET Denial of Service Vulnerability

В прошлых версиях .NET обработка X.509 сертификатов могла приводить к DoS атаке.

• CVE-2023-29337 – NuGet Client Remote Code Execution Vulnerability

В NuGet существовали условия при которых возникало состояние гонки (race condition), которое могло привести к выполнению удаленного кода.

• CVE-2023-32032 – .NET Elevation of Privilege Vulnerability

Распаковка специального созданного tar файла могла приводить к повышению привилегий кода.

• CVE-2023-33126 – .NET Remote Code Execution Vulnerability

Данная уязвимость проявлялась при падении кода и могла приводить к загрузке произвольного бинарного кода.

• CVE-2023-33128 – .NET Remote Code Execution Vulnerability

Сгенерированный код вызовов P/Invoke (source generators) мог оставлять неинициализированную память, которую можно было использовать для выполнения произвольного кода.

• CVE-2023-33135 – .NET Elevation of Privilege Vulnerability

При восстановлении инструментов .NET была возможность повышения привилегий.

Исправления ошибок

.NET 7.0.7

• ASP.NET Core
• Runtime
• Entity Framework Core
• Winforms – только одно исправление:
  • Fix GDI handle leak in GridEntry.

.NET 6.0.18

• ASP.NET Core
• Runtime
• Winforms – только одно исправление:
  • Fix null reference in PermonV2 mode.

Поддерживаемые ОС

В список поддерживаемых ОС добавлена Ubuntu 23.10 (Mantic Minotaur).

Где скачать?

Обновленные версии .NET можно загрузить по следующим адресам:

• .NET 7.0.7
• .NET 6.0.18

Также можно использовать менеджер winget:

• установить runtime:winget install dotnet-runtime-7
• установить SDK: winget install dotnet-sdk-7
• обновить: winget upgrade [имя пакета]

Обновленные образы для Docker как всегда доступны по адресам:

• dotnet/sdk: .NET SDK
• dotnet/aspnet: ASP.NET Core Runtime
• dotnet/runtime: .NET Runtime
• dotnet/runtime-deps: .NET Runtime Dependencies
• dotnet/samples: .NET Samples