安装KB5005043后通过web.config读取加密connectionstrings.config解密失败

问题根因 #

该报错确由KB5005043补丁直接引发，该补丁为2021年8月发布的.NET Framework安全更新，用于修复.NET远程代码执行漏洞，更新过程中修改了RsaProtectedConfigurationProvider的解密校验逻辑：原本对超出模数长度的解密请求的兼容容错逻辑被移除，补丁后严格限制待解密数据长度不能超过对应RSA密钥的模数字节数。
你场景中触发的128字节限制，对应你加密配置时使用的是1024位RSA密钥，旧版运行时允许加密后存在少量填充冗余的配置段正常解密，补丁后这类冗余数据会直接触发校验失败。微软官方文档未标注Windows Server 2016下的该影响，属于遗漏的已知问题。

可用解决方案 #

• 临时恢复方案：卸载KB5005043补丁
  操作路径：控制面板→程序和功能→查看已安装的更新，找到安全更新(KB5005043)右键卸载，重启服务器后业务即可恢复。该方案会撤销漏洞修复，仅建议临时救急使用，不建议长期保留。
• 长期兼容方案：重新加密配置文件
  先卸载补丁恢复业务后导出明文的connectionstrings.config，使用和加密时相同的RSA密钥容器，通过aspnet_regiis工具重新对连接字符串配置段执行加密操作，替换线上旧配置文件后再重新安装KB5005043补丁即可正常运行。该方案可同时保留补丁安全能力和业务可用性。
• 密钥升级方案：如果你使用的是自定义RSA密钥容器，可将1024位RSA密钥升级为2048位及以上长度，重新加密配置文件后即可永久避免同类模数长度限制问题。

内容的提问来源于stack exchange，提问作者Brian Clink