Update 30-9-2010: Microsoft heeft een patch uitgebracht voor onderstaand probleem, en wordt komende dagen uitgerold door WindowsUpdate. De patch is ook los te downloaden via de Microsoft Download Center. Voor verdere informatie, volg deze link: http://blogs.msdn.com/b/sharepoint/archive/2010/09/28/ms10-070-released-out-of-band-today.aspx
Afgelopen zaterdag is door het Microsoft team een bericht gegeven dat er een beveiligslek zit in ASP.NET. Hackers kunnen dit lek gebruiken om onder andere de configuratie van ASP.NET websites en SharePoint sites downloaden. Er wordt momenteel heel hard gewerkt aan een hotfix, maar die is helaas nog niet beschikbaar. In de tussentijd wordt geadviseerd de onderstaande workaround te gebruiken. De onderstaande stappen zijn relevant voor:
· ASP.NET 2.0 tot 3.5
· Windows SharePoint Services 3.0
· Office SharePoint Server 2007
· SharePoint Foundation 2010
· SharePoint Server 2010
Voer de volgende stappen uit om de workaround te implementeren:
1. Open de SharePoint Web Frontend
2. Maak een kopie van de web.config in "C:\Inetpub\wwwroot\wss\VirtualDirectories\[nummer]"
3. Open de web.config en verander de volgende regel:
In:
4. Sla de web.config op.
5. Ga naar "C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\12\TEMPLATE\LAYOUTS" en maak hierin een bestand genaamd "error.html".
6. Bewerk deze en zet er een generieke foutmelding in.
Let op: Gewone gebruikers kunnen dit bericht ook zien, maak daarom een nette error pagina!
7. Maak een kopie / backup van de web.config in "C:\Program Files\Common Files\Microsoft Shared\Web Server Extensions\12\ISAPI"
8. Op deze web.config en voeg het volgende toe in , net onder
9. Sla de web.config op.
10. Voer een iisreset uit (IISRESET /NOFORCE).
Let op: Tijdens de reset kunnen gebruikers last ondervinden van eventuele beperktheid van de website.
Voor verder advies kunt u de volgende blogposts lezen van Microsoft:
(eerste workarounds, ook voor SharePoint 2010 en .NET 3.5 SP1 en .NET 4.0 applicaties)
En de officiele Security Advisory:
Het is altijd verstandig om uw EventLog te monitoren op onbekende berichten. Als dit beveiligingslek wordt gebruikt door kwaadwillenden zal er het volgende bericht in het EventLog verschijnen:
Event code: 3005
Event message: An unhandled exception has occurred.
Event time:
Application information:
Application domain:
Application Virtual Path: /
Exception information:
Exception type: CryptographicException
Exception message: Padding is invalid and cannot be removed.