我是否需要同时对 .NET Framework 4.8 或 4.5 应用安全更新？

Question

我需要将 .NET 4.8 的最新安全更新应用到我们所有的服务器 (Windows Server 2012)，以确保删除所有已知的安全漏洞。

如果让您对我们服务器的当前状态有一个高层次的了解，那么最初安装了 .NET 4.5（实际上是随 Windows server 2012 提供的）并由我们的 ASP.NET MVC 应用程序和 Windows 服务使用。同样出于某种原因，还安装了 .NET 2/3.5，目前还不清楚我们服务器中的任何应用程序是否正在使用它。在将 .NET Framework 4.5 升级到 .NET 4.8 之前，我们之前的支持人员并未认真安装所有安全更新。

查看 Microsoft 的知识库文章后，我得出一个结论，我只需为 Windows Server 2012 应用以下最新的 .NET 4.8 月度安全和质量汇总，而无需为 .NET 4.5 安装类似的汇总。 Security and Quality Rollup for .NET Framework 4.8 for Windows Server 2012 (KB4534133)

我的理由是当 .NET 4.8 安装到服务器时，.NET 4.5 框架已被完全替换。因此，.NET 4.5 的安全更新不再适用。

但是，当我前几天下载 2020 年 2 月汇总文件时，它包含 5 个不同的 msu 文件，用于一个 Windows 操作系统更新、.NET 3.5、.NET 4.5.2、4.6 和 .NET 4.8 的更新。在我的测试服务器中测试每个更新时，我首先安装了建议在任何 .NET 更新之前安装的 Windows 更新。然后我安装了 .NET 3.5 的更新，它运行良好。然后出于好奇，我想我会尝试更新 .NET 4.5 的更新，期望我会收到一条消息，指出更新不适用于此服务器或类似的东西。然而，令我惊讶的是，它安装成功。我还能够按照我的预期应用 .NET 4.8 的更新。

在我的情况下，在安装 .NET 4.8 的更新之前是否需要应用 .NET 4.5 的更新？即使两个更新都安装成功，我担心 .NET 4.5 的更新可能会覆盖一些 .NET 4.8 文件。 .NET 4.5 的更新不应该检查 .NET 4.5 是否已经升级到 .NET 4.8 以避免对 .NET 4.8 进行不必要的覆盖吗？

我在这里遗漏了什么吗？如果我只安装 .NET 4.8 的汇总，我会好吗？

谢谢，

Answer 1

实际上，在玩过 .NET 4.5 和 4.8 的安全更新之后，我开始意识到 .NET 4.5 的安全更新不会对 .NET 4.8 产生任何影响。似乎要由 .NET 4.5 的安全更新更新的文件并没有真正被覆盖。相反，它会在旧文件版本和 4.8 版本之间创建某种隐藏版本。这是有道理的，因为以防万一 .NET 4.8 框架在未来以某种方式完全卸载，更新后的文件将恢复为存在漏洞的早期版本（在安全更新之前）。

因此，我得出结论，如果我将来不打算卸载 .NET 4.8，则不需要安装 .NET 4.5 的安全更新。