Патч для защиты ASP.NET MVC до версии 3.0.0.1 breaks build

Question

После установки обновления для системы безопасности ASP.NET MVC 3 KB2990942, версия MVC увеличилась с 3.0.0.0 до 3.0.0.1. Это приводит к тому, что Visual Studio больше не находит ссылку.

<Reference Include="System.Web.Mvc, Version=3.0.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, processorArchitecture=MSIL" /> 

Resharper не показывает каких-либо проблем, но сборка не удается с большим количеством неразрешенных типов MVC и предупреждения:

Внимание: Не удалось разрешить эту ссылку. Не удалось найти сборку «System.Web.Mvc, Version = 3.0.0.0, Culture = нейтраль, PublicKeyToken = 31bf3856ad364e35, processorArchitecture = MSIL». Проверьте на убедитесь, что сборка существует на диске. Если эта ссылка обязательна кодом, вы можете получить ошибки в компиляции.

Этот вид имеет смысл. Эта версия больше не существует на моей машине.

Я не могу гарантировать точную версию MVC на машинах dev, строить серверы и производственные серверы. Они могут иметь 3.0.0.0 или 3.0.0.1, и это может измениться в любое время. Windows Update может выпускать новые версии MVC в любое время. Кроме того, я не хочу увеличивать номер версии во всех * .csproj-файлах при выпуске обновления MVC.

Несколько версий затронуты обновление:

• KB 2993939: Security Update for Microsoft ASP.NET MVC 2
• KB 2993937: Security Update for Microsoft ASP.NET MVC 3
• KB 2993928: Security Update for Microsoft ASP.NET MVC 4.0
• KB 2992080: Security Update for Microsoft ASP.NET MVC 5.0

Бюллетень безопасности: MS14-059: Vulnerability in ASP.NET MVC Could Allow Security Feature Bypass (2990942)

Каков наилучший способ справиться с этой ситуацией? Как я могу разблокировать сборку и производство и быть в безопасности в отношении будущих обновлений MVC?

Answer 1

Я исправил это следующим образом:

• Удаление ссылки MVC и добавить правильную ссылку на проект.
• Изменение ссылки Copy Local ссылки на true.
• Обновление bindingRedirect установка в web.config:

web.config runtime раздел:

<runtime> 
    <assemblyBinding xmlns="urn:schemas-microsoft-com:asm.v1"> 
     <dependentAssembly> 
      <assemblyIdentity name="System.Web.Mvc" publicKeyToken="31bf3856ad364e35" /> 
      <bindingRedirect oldVersion="1.0.0.0-3.0.0.0" newVersion="3.0.0.1" /> 
     </dependentAssembly> 
    ... 

Изменение настройки Copy Local будет включать System.Web.MVC.dll файл в папке bin при публикации проекта, так что он работает, даже если сервер не обновляется с новой версией.

Обратите внимание, что обновления, подобные этому, редко случаются.Это первый случай, когда MVC 3 был исправлен с момента его выпуска. Вы должны иметь возможность изменить Copy Local до false после обновления серверов. В следующий раз, когда Microsoft сделает такое обновление, они, вероятно, знают, что сначала исправят такие проблемы.

Answer 2

Ваша система производства должна быть тонкой, как исправление обеспечивает конфигурационный файл (System.Web.Mvc.dll.config) в следующую папку:

%SystemRoot%\assembly\GAC_MSIL\policy.3.0.System.Web.Mvc\3.0.0.1__31bf3856ad364e35 

Файл конфигурации содержит узел перенаправляет на новая версия, это перекроет все, что вы имеете в вашем web.config:

<?xml version="1.0"?> 
<!-- http://msdn.microsoft.com/en-us/library/7wd6ex19.aspx#BKMK_Redirectingassemblyversionsbyusingpublisherpolicy --> 
<configuration> 
    <runtime> 
     <assemblyBinding xmlns="urn:schemas-microsoft-com:asm.v1"> 
      <dependentAssembly> 
       <assemblyIdentity name="System.Web.Mvc" publicKeyToken="31bf3856ad364e35" culture="neutral" /> 
       <bindingRedirect oldVersion="3.0.0.0-3.0.0.1" newVersion="3.0.0.1"/> 
      </dependentAssembly> 
     </assemblyBinding> 
    </runtime> 
</configuration> 

Следуйте рекомендации по @Guffa для вашей системы сборки или использовать NuGet для обновления. Я считаю, что решение, которое работает, зависит от того, как вы доставляете двоичные файлы MVC в вашу систему (развертывание bin или GAC).

Answer 3

Я установил пакет Microsoft.AspNet.Mvc в свой проект, используя Nuget.

Install-Package Microsoft.AspNet.Mvc -Version <version> -Project PROJECTNAME 

MVC 4 version: 4.0.40804.0 

MVC 3 version: 3.0.50813.1 

Это устранило проблему. Подробности здесь: http://blogs.msdn.com/b/webdev/archive/2014/10/16/microsoft-asp-net-mvc-security-update-broke-my-build.aspx

Answer 4

То, что сработало в моем случае было изменить Reference элемент в файле проекта так Version=3.0.0.0 теперь Version=3.0.0.1. Я также обновил файл System.Web.Mvc.dll, сидящий в папке _bin_deployableAssemblies, в новую версию и добавил элемент HintPath в элементе Reference, указывающий на указанную DLL, чтобы он был поднят, даже когда в GAC у нас все еще есть версия 3.0.0.0.

Трудная часть состоит в том, чтобы не забывать обновлять ссылку во всех проектах, ссылающихся на System.Web.Mvc (например, включая тестовый проект).