9 juillet 2024 – KB5041025 Mise à jour cumulative pour .NET Framework 3.5, 4.8 et 4.8.1 pour Azure Stack HCI, version 22H2

Détails des changements cassants

La mise à jour de maintenance .NET Framework publiée dans le Correctif cumulatif de sécurité et de qualité de juillet 2024 – .NET Framework contient un correctif de sécurité corrigeant une vulnérabilité d’élévation de privilège détaillée dans CVE 2024-38081. Le correctif a modifié la valeur de retour de la méthode System.IO.Path.GetTempPath. Si la version Windows expose l’API Win32 GetTempPath2, cette méthode appelle cette API et retourne le chemin résolu. Consultez la section Notes de la documentation GetTempPath2 pour plus d’informations sur l’exécution de cette résolution, notamment sur la façon de contrôler la valeur de retour en utilisant des variables d’environnement. L’API GetTempPath2 peut ne pas être disponible sur toutes les versions de Windows.

Une différence observable entre les API Win32 GetTempPath et GetTempPath2 est qu’elles retournent des valeurs différentes pour les processus SYSTEM et non-SYSTEM. Lors de l’appel de cette fonction à partir d’un processus exécuté en tant que SYSTEM, elle retourne le chemin %WINDIR%\SystemTemp, qui est inaccessible aux processus non-SYSTEM. Cette valeur de retour pour les processus SYSTEM ne peut pas être remplacée par des variables d’environnement. Pour les processus non-SYSTEM, GetTempPath2 se comporte de la même façon que GetTempPath, en respectant les mêmes variables d’environnement pour remplacer la valeur de retour.

Dans certains scénarios, il peut être possible de rediriger le dossier Temp vers un autre dossier à l’aide de variables d’environnement ou d’autres moyens. Reportez-vous à la documentation officielle de l’API GetTempPath2 Win32 pour obtenir les informations les plus récentes sur ce comportement.

Pour plus d’informations, consultez l’API System.IO.Path.GetTempPath.

Solution de contournement temporaire

⚠️ Avertissement : le refus désactive le correctif de sécurité pour la vulnérabilité d’élévation de privilèges détaillée dans CVE 2024-38081. Le refus est seulement une solution de contournement temporaire si vous êtes sûr que le logiciel s’exécute dans des environnements sécurisés. Microsoft ne recommande pas d’appliquer cette solution de contournement temporaire.

• Option 1 : refusez dans une fenêtre de commande en définissant la variable d’environnement

  • COMPlus_Disable_GetTempPath2=true

• Option 2 : refusez globalement sur l’ordinateur en créant une variable d’environnement à l’échelle du système et en redémarrant pour garantir que tous les processus observent le changement. ​​​​​​​​​​​​​​

  • Vous pouvez définir les variables d’environnement à l’échelle du système en exécutant « sysdm.cpl » à partir d’une fenêtre de commande, puis en accédant à « Variables d’environnement -> avancées -> Variables système -> Nouveau ». 

Résolution

Le changement de comportement de l’API est conçu pour résoudre la vulnérabilité liée à l’élévation de privilèges. Tous les logiciels ou applications concernés sont censés apporter des modifications au code pour s’adapter à ce nouveau changement de conception.

Canal de publication

Disponible

Étape suivante

Windows Update et Microsoft Update

Oui

Aucun. Cette mise à jour sera téléchargée et installée automatiquement à partir de Windows Update.

Windows Update for Business

Oui

Aucun. Cette mise à jour sera téléchargée et installée automatiquement à partir de Windows Update.

Catalogue Microsoft Update

Oui

Pour obtenir le package autonome pour cette mise à jour, accédez au site Web du catalogue Microsoft Update.

Windows Server Update Services (WSUS)

Oui

Cette mise à jour du système d’exploitation sera proposée, le cas échéant, et des mises à jour de produit .NET Framework individuelles seront installées. Pour plus d’informations sur les mises à jour de produit .NET Framework individuelles, consultez la section Informations supplémentaires relatives à cette mise à jour.

Cette mise à jour effectue une synchronisation automatique avec WSUS si vous configurez comme suit :

            Produit : Azure Stack HCI, version 22H2

            Classification : Mises à jour de sécurité