このセキュリティ更新プログラムは、ASP.NET SignalR バージョン 1.1.0、1.1.1、1.1.2、1.1.3、2.0.0、および Microsoft Visual Studio Team Foundation Server 2013 でサポートされているすべてのエディションで重要と評価されます。 詳細については、このセクションの「影響を受けるソフトウェア」および「影響を受けるソフトウェア」のサブセクションを参照してください。
ASP.NET SignalR を使用する Web アプリケーションを開発しているお客様:
ASP.NET SignalR 機能を使用する Web アプリケーションを開発しているお客様は、このセキュリティ情報の「Security UpdateDeployment」セクションの更新ガイダンスに従って、環境で SignalR ASP.NET 更新する方法の詳細な手順に従うことをお勧めします。
Microsoft Visual Studio Team Foundation Server2013 のインストールを実行しているお客様:
自動更新が有効になっていて、Microsoft Visual Studio Team Foundation Server 2013 を実行しているお客様は、更新プログラムが自動的にダウンロードされてインストールされます。 自動更新を有効にしていないお客様は、更新プログラムをチェックし、この更新プログラムを手動でインストールする必要があります。 自動更新の特定の構成オプションについては、マイクロソフト サポート技術情報の記事294871を参照してください。
Microsoft Visual Studio Team Foundation Server 2005 Service Pack 1
Microsoft Visual Studio 2008 Service Pack 1
Microsoft Visual Studio Team Foundation Server 2008 Service Pack 1
Microsoft Visual Studio 2010 Service Pack 1
Microsoft Visual Studio Team Foundation Server 2010 Service Pack 1
Microsoft Visual Studio LightSwitch 2011
Microsoft Visual Studio 2012
Microsoft Visual Studio Team Foundation Server 2012
更新に関する FAQ
ASP.NET SignalR とは
ASP.NET SignalR は、リアルタイム Web 機能の開発を簡略化する ASP.NET 開発者向けのライブラリです。 ASP.NET SignalR を使用すると、JavaScript を介してサーバーとクライアント間の双方向通信が可能になり、サーバーは接続されたクライアントが使用可能になるとすぐにコンテンツをプッシュできます (プッシュ機能)。 SignalR ASP.NET の詳細については、「SignalR の ASP.NET について」を参照してください。
ASP.NET SignalR のバージョンをアップグレード操作方法
Visual Studio Team Foundation Server 2013 と共にインストールされた ASP.NET SignalR のインスタンスは、Microsoft Update を介して更新されます。 ただし、開発者システムおよび Web アプリケーション サーバーに存在する ASP.NET SignalR の他のインスタンスは、このセキュリティ情報のセキュリティ更新プログラムの展開セクションで定義されているプロセスを使用して更新する必要があります。
回避策とは、基になる脆弱性を修正しないが、更新プログラムを適用する前に既知の攻撃ベクトルをブロックするのに役立つ設定または構成の変更を指します。 Microsoft は、回避策によって機能が低下するかどうかを説明する中で、次の回避策と状態をテストしました。
ASP.NET SignalR 機能を使用して Web アプリケーションをホストする Windows サーバーの場合、ASP.NET SignalRForever Frameトランスポートプロトコルをオフにすると、この脆弱性から一時的に保護されます。
クライアント側とサーバー側で ASP.NET SignalR Forever Frame トランスポート プロトコルを無効にすることは、コードで実現されます。 環境内でプロトコルを無効にするためのガイダンスとして、次の例を参照してください。
クライアント側から影響を受けるトランスポートを無効にするコード例:
// If using the default hub connection
$.connection.hub.start({ transport: ["webSockets", "serverSentEvents", "longPolling"] });
// If using a manually-created connection
var connection = $.connection("https://sample.com/signalr");
connection.start({ transport: ["webSockets", "serverSentEvents", "longPolling"] });
using Microsoft.AspNet.SignalR;
using Microsoft.AspNet.SignalR.Transports;
using Owin;
namespace MyApplication
{
public static class Startup
{
public static void ConfigureSignalR(IAppBuilder app)
{
// If using the global dependency resolver
TurnOfForeverFrame(GlobalHost.DependencyResolver);
app.MapSignalR();
}
public static void TurnOfForeverFrame(IDependencyResolver resolver)
{
var transportManager = resolver.Resolve<itransportmanager>() as TransportManager;
transportManager.Remove("foreverFrame");
}
}
}
Code example to disable the affected transport on the server side when using a custom dependency resolver:
using Microsoft.AspNet.SignalR;
using Microsoft.AspNet.SignalR.Transports;
using Owin;
namespace MyApplication
{
public static class Startup
{
public static void ConfigureSignalR(IAppBuilder app)
{
// If using a custom dependency resolver
var resolver = GetCustomResolver();
TurnOfForeverFrame(resolver);
app.MapSignalR(new HubConfiguration
{
Resolver = resolver
});
}
private static IDependencyResolver GetCustomResolver()
{
return new DefaultDependencyResolver();
}
public static void TurnOfForeverFrame(IDependencyResolver resolver)
{
var transportManager = resolver.Resolve</itransportmanager><itransportmanager>() as TransportManager;
transportManager.Remove("foreverFrame");
}
}
}
どのシステムが主に脆弱性のリスクにさらされていますか?
Web 閲覧シナリオでは、この脆弱性が悪用された場合、ユーザーがログオンし、SignalR ASP.NET ホストしている Web サイトにアクセスする必要があります。 したがって、ワークステーションやターミナル サーバーなど、Web ブラウザーが頻繁に使用されるシステムは、この脆弱性のリスクが最も高まります。 管理者がユーザーがサーバー上の電子メールを参照および読み取ることを許可すると、サーバーのリスクが高くなります。 ただし、ベスト プラクティスではこれを許可しないことを強くお勧めします。
Microsoft サポート技術情報で提供される情報は、いかなる種類の保証もなく"現状のまま" 提供されます。 Microsoft は、商品性と特定の目的に対する適合性の保証を含め、明示または黙示を問わず、すべての保証を放棄します。 Microsoft Corporation またはそのサプライヤーは、Microsoft Corporation またはそのサプライヤーがこのような損害の可能性について通知された場合でも、直接的、間接的、付随的、派生的、ビジネス上の利益の損失、または特別な損害を含む一切の損害について一切の責任を負いません。 一部の州では、派生的損害または付随的損害に対する責任の除外または制限が認められていないため、前述の制限は適用されない場合があります。
As an Information Security Administrator, you plan and implement information security of sensitive data by using Microsoft Purview and related services. You’re responsible for mitigating risks by protecting data inside collaboration environments that are managed by Microsoft 365 from internal and external threats and protecting data used by AI services. You also implement information protection, data loss prevention, retention, insider risk management, and manage information security alerts and activities.