如何为Windows Server上的第三方应用修补.NET Core安全漏洞

核心结论 #

.NET Core/ASP.NET Core的修补逻辑和.NET Framework完全不同，不建议直接下载官方安装包自行更新，否则可能引发应用兼容性故障。 #

具体原因及场景说明 #

• .NET Framework属于系统级共享组件，安装补丁后会覆盖全系统所有调用该组件的应用，更新逻辑是全局生效的。但.NET Core存在两种完全不同的部署模式，更新逻辑差异极大：
  • 框架依赖部署（FDD）：应用依赖系统公共路径下安装的.NET Core运行时，安装对应大版本的安全更新补丁可生效，但需要应用兼容该小版本更新，否则会出现运行异常。
  • 独立部署（SCD）：应用打包时内置了专属的.NET Core运行时副本，和系统安装的其他.NET Core版本完全隔离，自行安装系统级运行时补丁完全不会触达应用自带的运行时，修补无效。
• VMware AirWatch UEM作为商业闭源软件，安装时自带的前置依赖都是厂商经过全量兼容性验证的固定版本，自行更新运行时属于非官方支持操作，大概率会出现功能异常、服务无法启动等问题，且故障不在厂商保修范围内。

可行操作路径 #

• 优先等待VMware官方的方案回复：正规商业软件面对公开披露的组件安全漏洞，会在规定时间内推出适配好的官方补丁包，补丁会整合经过兼容性验证的.NET Core安全更新，直接安装官方补丁即可完成漏洞修复，无兼容风险。
• 若漏洞风险等级极高需要紧急处置，需先对生产环境服务器做完整的虚拟机快照备份，再在同配置的测试环境中尝试安装对应大版本的.NET Core安全更新，全量验证AirWatch所有业务功能无异常后，再谨慎在生产环境操作，该操作属于非官方方案，需自行承担风险。

内容的提问来源于stack exchange，提问作者user1862438