发布日期：2009-08-11
更新日期：2009-08-12

受影响系统：

Microsoft .NET Framework 3.5 SP1
Microsoft .NET Framework 3.5
Microsoft .NET Framework 2.0 SP2
Microsoft .NET Framework 2.0 SP1

描述：

---

BUGTRAQ  ID: 35985
CVE(CAN) ID: CVE-2009-1536

Microsoft .NET Framework是一个流行的软件开发工具包。

ASP.NET管理请求调度的方式存在拒绝服务漏洞。攻击者可以创建特制的匿名HTTP请求导致受影响的Web服务器变得没有响应，直到重启相关的应用池。
          
仅可通过IIS 7.0暴露Microsoft .NET Framework中的漏洞代码。对于没有运行IIS 7.0的系统，无法利用这个漏洞。

<*来源：Alexander Pfandt
  
  链接：http://secunia.com/advisories/36127/
        http://www.microsoft.com/technet/security/bulletin/MS09-036.mspx?pf=true
        http://www.us-cert.gov/cas/techalerts/TA09-223A.html
*>

建议：

---

临时解决方法：

* 使用以下两种方法之一配置IIS 7.0使用原始线程池处理进程。
    
方法1：在注册表中指定maxConcurrentRequestsPerCPU值。
方法2：在ASPNET.Config文件的ASP.NET配置部分，指定应用池的maxConcurrentRequestsPerCPU值。

厂商补丁：

Microsoft
---------
Microsoft已经为此发布了一个安全公告（MS09-036）以及相应补丁:
MS09-036：Vulnerability in ASP.NET in Microsoft Windows Could Allow Denial of Service (970957)
链接：http://www.microsoft.com/technet/security/bulletin/MS09-036.mspx?pf=true

浏览次数：2946
严重程度：0（网友投票）