このブラウザーはサポートされなくなりました。
Microsoft Edge にアップグレードすると、最新の機能、セキュリティ更新プログラム、およびテクニカル サポートを利用できます。
公開日: 2016 年 2 月 9 日 |更新日: 2016 年 2 月 10 日
バージョン: 1.1
Microsoft では、パブリック バージョンの Visual Studio 2013、Visual Studio 2015、ASP.NET MVC5、および ASP.NET MVC6 の脆弱性に関する情報を提供するために、このセキュリティ アドバイザリをリリースしています。 このアドバイザリでは、開発者がビルドしたコントロールとコンポーネントが脆弱性の影響を受けないようにするために開発者ができることに関するガイダンスも提供します。
Microsoft は、影響を受ける ASP.NET プロジェクト テンプレートを使用して構築された Web アプリケーションに対するクロスサイト リクエスト フォージェリ (CSRF) 攻撃シナリオで使用できる、Visual Studio 2013 および Visual Studio 2015 のパブリック バージョンのセキュリティの脆弱性を認識しています。 Microsoft ASP.NET MVC5 および ASP.NET MVC6 プロジェクト テンプレートは、新しい Web アプリケーションのスターター テンプレートとしてソフトウェア開発者によって使用されます。
攻撃者がこの脆弱性を悪用する方法
攻撃者はクロスサイト リクエスト フォージェリ (CSRF) を使用して、脆弱なテンプレートで生成された Web アプリケーションに要求を送信し、認証されたユーザーの電話番号を ASP.NET Identity Database から削除する可能性があります。 この脆弱性が悪用された結果、電話番号に依存する 2 要素認証 (2FA) メカニズムが削除されます。 ユーザーのパスワードは影響を受けません。
更新プログラムは何を行いますか?
この更新プログラムは、VISUAL Studio 2015 ASP.NET MVC5 および MVC6 のプロジェクト テンプレートを修正します。
テンプレートの更新は、新しいアプリケーションにのみ影響します。 このため、Microsoft では、これらのテンプレートを使用して Web アプリケーションを構築した開発者に対して、「推奨されるアクション」セクションに記載されている即時アクションを実行して、Web アプリケーションが脆弱性にさらされた可能性を評価することを強くお勧めします。その後、そのセクションの回避策を使用して、脆弱性から保護するためにアプリケーションを更新するためのコード変更を行うことを強くお勧めします。
Visual Studio 2013 を実行している場合は、「推奨されるアクション」セクションに記載されている回避策の手順を使用して、影響を受けるテンプレートを使用するたびにアプリケーションを手動で更新する必要があります。
更新プログラム操作方法適用しますか?
次の回避策情報では、ASP.NET プロジェクト テンプレートから作成された既存のアプリケーションに対して行う必要がある変更について詳しく説明します。
Visual Studio 2015 MVC 5 と Visual Studio 2013 MVC 5
C の場合#
Controllers ディレクトリから、ManageController.csを読み込みます。
Remove電話Number() を検索します (199 行目)。
カスタマイズを行わないテンプレート コードは、次のように表示されます。
public async Task<actionresult> RemovePhoneNumber()
{
var result = await UserManager.SetPhoneNumberAsync(User.Identity.GetUserId(), null);
if (!result.Succeeded)
{
return RedirectToAction("Index", new { Message = ManageMessageId.Error });
}
var user = await UserManager.FindByIdAsync(User.Identity.GetUserId());
if (user != null)
{
await SignInManager.SignInAsync(user, isPersistent: false, rememberBrowser: false);
}
return RedirectToAction("Index", new { Message = ManageMessageId.RemovePhoneSuccess });
}
[HttpPost] 属性と [ValidateAntiForgeryToken] 属性を関数定義に追加して、コードが次のように表示されるようにします。
[HttpPost]
[ValidateAntiForgeryToken]
public async Task</actionresult><actionresult> RemovePhoneNumber()
{
var result = await UserManager.SetPhoneNumberAsync(User.Identity.GetUserId(), null);
if (!result.Succeeded)
{
return RedirectToAction("Index", new { Message = ManageMessageId.Error });
}
var user = await UserManager.FindByIdAsync(User.Identity.GetUserId());
if (user != null)
{
await SignInManager.SignInAsync(user, isPersistent: false, rememberBrowser: false);
}
return RedirectToAction("Index", new { Message = ManageMessageId.RemovePhoneSuccess });
}
Views/Manage フォルダーから Index.cshtml ファイルを読み込みます。
<dt>電話 Number:/dt> を検索します< (40 行目)
カスタマイズを行わないテンプレート コードは、次のように表示されます。
<dt>Phone Number:</dt>
表示するビュー コードを次のように変更します。
<dt>Phone Number:</dt>
Visual Basic の場合
Controllers ディレクトリから、ManageController.csを読み込みます。
Remove電話Number() を検索します (164 行目)。
カスタマイズを行わないテンプレート コードは、次のように表示されます。
Public Async Function RemovePhoneNumber() As Task(Of ActionResult)
Dim result = Await UserManager.SetPhoneNumberAsync(User.Identity.GetUserId(), Nothing)
If Not result.Succeeded Then
Return RedirectToAction("Index", New With {
.Message = ManageMessageId.[Error]
})
End If
Dim userInfo = Await UserManager.FindByIdAsync(User.Identity.GetUserId())
If userInfo IsNot Nothing Then
Await SignInManager.SignInAsync(userInfo, isPersistent:=False, rememberBrowser:=False)
End If
Return RedirectToAction("Index", New With {
.Message = ManageMessageId.RemovePhoneSuccess
})
End Function
HttpPost> 属性と< ValidateAntiForgeryToken> 属性を関数定義に追加して、次のように表示します。<
<httppost>
Views/Manage フォルダーから Index.vbhtml ファイルを読み込みます。
<dt>電話 Number:/dt> を検索します< (37 行目)
カスタマイズを行わないテンプレート コードは、次のように表示されます。
<dt>Phone Number:</dt>
表示するビュー コードを次のように変更します。
<dt>Phone Number:</dt>
Visual Studio 2015 MVC 6
C の場合#
Controllers ディレクトリから、ManageController.csを読み込みます。
Remove電話Number() を検索します (178 行目)。
カスタマイズを行わないテンプレート コードは、次のように表示されます。
// GET: /Manage/RemovePhoneNumber
[HttpGet]
public async Task<iactionresult> RemovePhoneNumber()
{
var user = await GetCurrentUserAsync();
if (user != null)
{
var result = await _userManager.SetPhoneNumberAsync(user, null);
if (result.Succeeded)
{
await _signInManager.SignInAsync(user, isPersistent: false);
return RedirectToAction(nameof(Index), new { Message = ManageMessageId.RemovePhoneSuccess });
}
}
return RedirectToAction(nameof(Index), new { Message = ManageMessageId.Error });
}
[HttpGet] 属性を削除し、[HttpPost] 属性と [ValidateAntiForgeryToken] 属性を関数定義に追加して、コードが次のように表示されるようにします。
[HttpPost]
[ValidateAntiForgeryToken]
public async Task</iactionresult><iactionresult> RemovePhoneNumber()
{
var user = await GetCurrentUserAsync();
if (user != null)
{
var result = await _userManager.SetPhoneNumberAsync(user, null);
if (result.Succeeded)
{
await _signInManager.SignInAsync(user, isPersistent: false);
return RedirectToAction(nameof(Index), new { Message = ManageMessageId.RemovePhoneSuccess });
}
}
return RedirectToAction(nameof(Index), new { Message = ManageMessageId.Error });
}
Views/Manage フォルダーから Index.cshtml ファイルを読み込みます。
次のように表示されるように、ビュー ファイルを完全に置き換えます。
@model IndexViewModel
@{
ViewData["Title"] = "Manage your account";
}
<h2>@ViewData["Title"].</h2>
@ViewData["StatusMessage"]
<div>
Visual Basic の場合
Visual Studio ツールの更新プログラムを直接ダウンロードします。
PC を保護する
ファイアウォールの有効化、ソフトウェア更新プログラムの取得、ウイルス対策ソフトウェアのインストールに関する Microsoft のコンピューター保護ガイダンスに従うことをお客様に引き続きお勧めします。 詳細については、「Microsoft セーフty & Security Center」を参照してください。
Microsoft ソフトウェアを最新の状態に保つ
Microsoft ソフトウェアを実行しているユーザーは、コンピューターが可能な限り保護されていることを確認するために、最新の Microsoft セキュリティ更新プログラムを適用する必要があります。 ソフトウェアが最新かどうかわからない場合は、Microsoft Update にアクセスし、コンピューターで利用可能な更新プログラムをスキャンし、提供されている優先度の高い更新プログラムをインストールします。 自動更新を有効にして、Microsoft 製品の更新プログラムを提供するように構成している場合、更新プログラムはリリース時に配信されますが、インストールされていることを確認する必要があります。
このアドバイザリで提供される情報は、いかなる種類の保証もなく「現状のまま」提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。
Page generated 2016-02-19 14:36-08:00.
トレーニング
モジュール
Guide to Secure .NET Development with OWASP Top 10 - Training
Evaluate security risks that come with insecure application development patterns and practices
認定資格
Microsoft Certified: Security Operations Analyst Associate - Certifications
Microsoft Sentinel、Microsoft Defender for Cloud、Microsoft 365 Defender を使って、脅威の調査、検索、軽減を行います。