dotnetの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。NET Coreは管理されたソフトウェアフレームワークです。これは、.NET Framework APIといくつかの新しいAPIのサブセットを実装し、CLR実装が含まれています。セキュリティ上の脆弱性に対処する新しいバージョンの.NET Coreが利用可能になりました。更新されたバージョンは.NET Core SDK 2.1.509およびRuntime 2.1.13です。セキュリティ修正プログラム：* dotnet：System.Net.Sockets.dll Socket.ConnectAsyncのサービス拒否（CVE-2019-1301）.NET Coreで構築されたアプリケーションのデフォルトインクルージョンは、最新バージョンとそのセキュリティ修正を参照するように更新されました。影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

Microsoft Visual Studio製品にセキュリティ更新プログラムがありません。そのため、以下の複数の脆弱性の影響を受けます。

  - 診断ハブ標準コレクターサービスが特定のファイル操作を不適切に偽装するとき、権限昇格の脆弱性があります。脆弱性を悪用した攻撃者が、昇格した権限を取得する可能性があります。脆弱なシステムに対して権限のないアクセス権を持つ攻撃者が、この脆弱性を悪用する可能性があります。
    セキュリティ更新プログラムは、診断ハブ標準コレクターサービスがファイル操作を適切に偽装するよう徹底することにより、この脆弱性に対応します。（CVE-2019-1232）

  - .NET CoreがWebリクエストを不適切に処理するとき、サービス拒否の脆弱性があります。この脆弱性の悪用に成功した攻撃者は、.NET Core Webアプリケーションに対するサービス拒否を引き起こす可能性があります。
    この脆弱性は、認証なしでリモートから悪用される可能性があります。この更新プログラムは、.NET Core WebアプリケーションがWebリクエストを処理する方法を修正することにより、この脆弱性に対応します。（CVE-2019-1301）

リモートのCentOS Linux 8ホストにインストールされているパッケージは、CESA-2019: 2731アドバイザリに記載されている脆弱性の影響を受けます。

  - dotnet：System.Net.Sockets.dll Socket.ConnectAsyncのサービス拒否（CVE-2019-1301）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

rh-dotnet21-dotnetおよびrh-dotnet22-dotnetの更新プログラムが、Red Hat Enterprise Linux 7の.NET Coreで利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。.NET Coreは管理されたソフトウェアフレームワークです。これは、.NET Framework APIといくつかの新しいAPIのサブセットを実装し、CLR実装が含まれています。セキュリティ上の脆弱性に対処する新しいバージョンの.NET Coreが利用可能になりました。更新されたバージョンは.NET Core 2.1.13および2.2.7です。セキュリティ修正プログラム：* dotnet：System.Net.Sockets.dll Socket.ConnectAsyncのサービス拒否（CVE-2019-1301）.NET Coreで構築されたアプリケーションのデフォルトインクルージョンは、最新バージョンとそのセキュリティ修正を参照するように更新されました。影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

The Microsoft .NET Core installation on the remote host is version 2.1.x < 2.1.13, or 2.2.x < 2.2.7. It is, therefore, affected by a denial-of-service vulnerability when .Net Core improperly handles web requests. 認証されていないリモートの攻撃者が、この問題を悪用して、.Net CoreのWebアプリケーションに対してサービス拒否攻撃を引き起こす可能性があります。

リモートホストにインストールされているMicrosoft .NET Core SDKのバージョンは、2.1.509より前の2.1.x、2.1.606、2.1.802、2.2.109より前の2.2.x、2.2.206、2.2.302です。
そのため、以下の複数の脆弱性の影響を受けます。 

  - A denial of service vulnerability when .Net Core improperly handles web requests. An unauthenticated, remote attacker could exploit this issue, to cause a denial of service attack against a .Net Core web application. (CVE-2019-1301)

  - An elevation of privilege vulnerability that could lead to a content injection attack enabling an attacker to run a script in the context of the logged-on user. An unauthenticated, remote attacker could exploit this issue, via a link that has a specially crafted URL, and convince the user to click the link. (CVE-2019-1302)

出典: Red Hatセキュリティアドバイザリ2019:2731：dotnetの更新プログラムがRed Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。NET Coreは管理されたソフトウェアフレームワークです。これは、.NET Framework APIといくつかの新しいAPIのサブセットを実装し、CLR実装が含まれています。セキュリティ上の脆弱性に対処する新しいバージョンの.NET Coreが利用可能になりました。更新されたバージョンは.NET Core SDK 2.1.509およびRuntime 2.1.13です。セキュリティ修正プログラム：* dotnet：System.Net.Sockets.dll Socket.ConnectAsyncのサービス拒否（CVE-2019-1301）.NET Coreで構築されたアプリケーションのデフォルトインクルージョンは、最新バージョンとそのセキュリティ修正を参照するように更新されました。影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
128855	RHEL 8：.NET Core on Red Hat Enterprise Linux（RHSA-2019:2731）	Nessus	Red Hat Local Security Checks	2019/9/16	2024/4/27	high
128708	Microsoft Visual Studio製品のセキュリティ更新プログラム（2019年9月）	Nessus	Windows : Microsoft Bulletins	2019/9/11	2023/7/25	high
145611	CentOS 8：Red Hat Enterprise Linux上の.NET Core（CESA-2019：2731）	Nessus	CentOS Local Security Checks	2021/1/29	2021/3/23	high
128856	RHEL 7：dotNET（RHSA-2019:2732）	Nessus	Red Hat Local Security Checks	2019/9/16	2024/4/28	high
128771	.NET Coreのセキュリティ更新プログラム（2019年9月）	Nessus	Windows	2019/9/13	2022/4/11	high
128772	.NET Core SDKのセキュリティ更新プログラム（2019年9月）	Nessus	Windows	2019/9/13	2021/6/3	high
128848	Oracle Linux 8：.NET/Core/Enterprise/Hat/Linux/Red/on（ELSA-2019-2731）	Nessus	Oracle Linux Local Security Checks	2019/9/16	2024/4/25	high

検出

プラグインの検索

high

high

high

high

high

high

high