MSRC ppDocument 模板

Microsoft 安全公告 MS15-009 - 严重

Internet Explorer 安全更新 (3034682)

发布日期:2015 年 2 月 10 日

版本: 1.0

摘要

此安全更新可解决 Internet Explorer 中一个公开披露的漏洞和四十个秘密报告的漏洞。最严重的漏洞可能在用户使用 Internet Explorer 查看经特殊设计的网页时允许远程执行代码。成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。与拥有管理用户权限的客户相比,帐户被配置为拥有较少系统用户权限的客户受到的影响更小。

对于受影响的 Windows 客户端上的 Internet Explorer 6 (IE 6)、Internet Explorer 7 (IE 7)、Internet Explorer 8 (IE 8)、Internet Explorer 9 (IE 9)、Internet Explorer 10 (IE 10) 和 Internet Explorer 11 (IE 11),此安全更新的等级为“严重”;对于受影响的 Windows 服务器上的 Internet Explorer 6 (IE 6)、Internet Explorer 7 (IE 7)、Internet Explorer 8 (IE 8)、Internet Explorer 9 (IE 9)、Internet Explorer 10 (IE 10) 和 Internet Explorer 11 (IE 11),此安全更新的等级为“中等”。有关详细信息,请参阅“受影响的软件”部分。

该安全更新通过修改 Internet Explorer 处理内存中对象的方式、向 Internet Explorer 添加其他权限验证、帮助确保 Internet Explorer 的受影响版本正确实施 ASLR 安全功能以及通过帮助确保在 Internet Explorer 中正确实施跨域策略来解决这些漏洞。有关这些漏洞的详细信息,请参阅“漏洞信息”一节。

有关此更新的详细信息,请参阅 Microsoft 知识库文章 3034682

 

受影响的软件

以下软件版本都受到影响。未列出的版本的支持生命周期已结束或者不受影响。要确定软件版本的技术支持生命周期,请参阅 Microsoft 技术支持生命周期

受影响的软件 

**操作系统** **组件** **最大安全影响** **综合严重等级** **替代的更新**
**Internet Explorer 6**
Windows Server 2003 Service Pack 2 Internet Explorer 6 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=f0ccbbaf-980c-4f6b-adc7-a779c239bef9)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Server 2003 x64 Edition Service Pack 2 Internet Explorer 6 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=ae493feb-f162-4599-ade5-f63672622571)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Server 2003 SP2(用于基于 Itanium 的系统) Internet Explorer 6 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=34817465-53c8-46d7-b2cb-24583dc5eb45)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
**Internet Explorer 7**
Windows Server 2003 Service Pack 2 Internet Explorer 7 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=194dff8c-91df-4862-afaa-19f0c81ba38d)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Server 2003 x64 Edition Service Pack 2 Internet Explorer 7 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=82803eda-e0cb-45d7-b6a4-3f9858c5b4f3)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Server 2003 SP2(用于基于 Itanium 的系统) Internet Explorer 7 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=5be7ec84-a5df-4de4-8fc3-c6ff444f1c69)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Vista Service Pack 2 Internet Explorer 7 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=b1fb65f1-8896-451b-93d0-74adf42f4f6a)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Vista x64 Edition Service Pack 2 Internet Explorer 7 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=6a265737-64e4-4437-9c03-ba26f366d8e3)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Server 2008(用于 32 位系统)Service Pack 2 Internet Explorer 7 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=ca1a1d34-fbf0-4fa3-af14-bdbd9ed1f726)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Server 2008(用于基于 x64 的系统)Service Pack 2 Internet Explorer 7 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=285450a0-0624-4757-9079-a81d082c312f)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Server 2008(用于基于 Itanium 的系统)Service Pack 2 Internet Explorer 7 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=78af52b7-da9c-48d7-b09a-423265a8ba9c)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
**Internet Explorer 8**
Windows Server 2003 Service Pack 2 Internet Explorer 8 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=ce5e4708-fe89-451a-a29e-e6d338a308da)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 [MS14-084](https://technet.microsoft.com/zh-cn/library/security/ms14-084) 中的 3012168 或者 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 [MS14-084](https://technet.microsoft.com/zh-cn/library/security/ms14-084) 中的 3012172 或者 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 [MS14-084](https://technet.microsoft.com/zh-cn/library/security/ms14-084) 中的 3012176 [1]
Windows Server 2003 x64 Edition Service Pack 2 Internet Explorer 8 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=bbd2d609-7893-4ffe-a98f-ac152d2095d6)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 [MS14-084](https://technet.microsoft.com/zh-cn/library/security/ms14-084) 中的 3012168 或者 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 [MS14-084](https://technet.microsoft.com/zh-cn/library/security/ms14-084) 中的 3012172 或者 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 [MS14-084](https://technet.microsoft.com/zh-cn/library/security/ms14-084) 中的 3012176 [1]
Windows Vista Service Pack 2 Internet Explorer 8 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=fd98b7f8-b216-406b-a125-bae4ac7c14db)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 [MS14-084](https://technet.microsoft.com/zh-cn/library/security/ms14-084) 中的 3012176
Windows Vista x64 Edition Service Pack 2 Internet Explorer 8 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=df24a4bd-782d-472f-a4e8-c169ad02b964)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 [MS14-084](https://technet.microsoft.com/zh-cn/library/security/ms14-084) 中的 3012176
Windows Server 2008(用于 32 位系统)Service Pack 2 Internet Explorer 8 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=807577ce-4e11-42c0-bbec-e12cf73060ee)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 [MS14-084](https://technet.microsoft.com/zh-cn/library/security/ms14-084) 中的 3012176
Windows Server 2008(用于基于 x64 的系统)Service Pack 2 Internet Explorer 8 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=1c56b8ea-5ed2-4dfb-afa2-df8b31adfe00)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 [MS14-084](https://technet.microsoft.com/zh-cn/library/security/ms14-084) 中的 3012176
Windows 7(用于 32 位系统)Service Pack 1 Internet Explorer 8 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=0338ecd4-65ec-4eaa-9af1-95a5e8d5b36a)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 [MS14-084](https://technet.microsoft.com/zh-cn/library/security/ms14-084) 中的 3012176
Windows 7(用于基于 x64 的系统)Service Pack 1 Internet Explorer 8 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=2b7724e0-d262-4145-8f39-8b4b5fd53345)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 [MS14-084](https://technet.microsoft.com/zh-cn/library/security/ms14-084) 中的 3012176
Windows Server 2008 R2(用于基于 x64 的系统)Service Pack 1 Internet Explorer 8 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=ea809932-be43-4acf-8386-c1784aba8d7e)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 [MS14-084](https://technet.microsoft.com/zh-cn/library/security/ms14-084) 中的 3012176
Windows Server 2008 R2(用于基于 Itanium 的系统)Service Pack 1 Internet Explorer 8 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=46ffb748-668d-4945-8ec7-fcf1eb020217)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 [MS14-084](https://technet.microsoft.com/zh-cn/library/security/ms14-084) 中的 3012176
**Internet Explorer 9**
Windows Vista Service Pack 2 Internet Explorer 9 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=ab2793a2-f928-4574-b3e9-7af74119f6e5)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Vista Service Pack 2 Internet Explorer 9 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=8cfc1d22-89b2-4cea-8545-1cfde4c6b86f))[2] 安全功能规避 重要
Windows Vista x64 Edition Service Pack 2 Internet Explorer 9 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=4a7bf594-75c0-46f4-ae8c-55988df01eec)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Vista x64 Edition Service Pack 2 Internet Explorer 9 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=75aa375f-66a0-456a-b132-30f85febe0ab))[2] 安全功能规避 重要
Windows Server 2008(用于 32 位系统)Service Pack 2 Internet Explorer 9 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=b4192932-1eb9-4c09-b6e4-0fc825d6d9f1)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Server 2008(用于 32 位系统)Service Pack 2 Internet Explorer 9 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=cc14db95-b95f-4ebf-83eb-256c915f5cf0))[2] 安全功能规避
Windows Server 2008(用于基于 x64 的系统)Service Pack 2 Internet Explorer 9 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=807e455b-8243-44e8-bf48-5c9fa3825e73)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Server 2008(用于基于 x64 的系统)Service Pack 2 Internet Explorer 9 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=d4de1a53-63eb-4fba-9b71-63a268a34f1f))[2] 安全功能规避
Windows 7(用于 32 位系统)Service Pack 1 Internet Explorer 9 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=580de5da-075a-46e7-ae3e-d6a1c721878e)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows 7(用于 32 位系统)Service Pack 1 Internet Explorer 9 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=1e197d81-42fc-40c6-bfe2-779c6d33cd23))[2] 安全功能规避 重要
Windows 7(用于基于 x64 的系统)Service Pack 1 Internet Explorer 9 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=2d9739e0-7ca7-4a2a-a706-2ddf2f31a329)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows 7(用于基于 x64 的系统)Service Pack 1 Internet Explorer 9 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=c1729585-b782-4b50-8acf-1f39510a846e))[2] 安全功能规避 重要
Windows Server 2008 R2(用于基于 x64 的系统)Service Pack 1 Internet Explorer 9 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=e9609acc-ef6b-4f28-9774-c407e940b383)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Server 2008 R2(用于基于 x64 的系统)Service Pack 1 Internet Explorer 9 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=9f354c04-079c-4dd7-bade-ed9d84435dd4))[2] 安全功能规避
**Internet Explorer 10**
Windows 7(用于 32 位系统)Service Pack 1 Internet Explorer 10 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=ee8b0558-0d3c-47e5-83c6-f46f4851a5bc)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows 7(用于 32 位系统)Service Pack 1 Internet Explorer 10 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=fc738de2-e3da-4cb3-96d7-a9db257cafee))[2] 安全功能规避 重要
Windows 7(用于基于 x64 的系统)Service Pack 1 Internet Explorer 10 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=8faab6d3-50d7-4400-9212-fd75ca397479)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows 7(用于基于 x64 的系统)Service Pack 1 Internet Explorer 10 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=bb7b2987-5f1d-4b2d-a981-938f5c414d57))[2] 安全功能规避 重要
Windows Server 2008 R2(用于基于 x64 的系统)Service Pack 1 Internet Explorer 10 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=2fd21efc-cac4-4246-89e4-bb0d15a2b89a)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Server 2008 R2(用于基于 x64 的系统)Service Pack 1 Internet Explorer 10 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=23ca47a8-6859-443b-834c-16599da62dc3))[2] 安全功能规避
Windows 8(用于 32 位系统) Internet Explorer 10 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=78b3bb6e-2aff-41e3-ac27-0fcde9be9742)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 3029449
Windows 8(用于 32 位系统) Internet Explorer 10 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=3be02b5e-9cb5-4648-b3b8-c40fdfece6c5))[2] 安全功能规避 重要
Windows 8(用于基于 x64 的系统) Internet Explorer 10 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=4b13cd8e-524a-4f8d-b4e9-8591e36c5c46)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 3029449
Windows 8(用于基于 x64 的系统) Internet Explorer 10 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=2ea1186d-d2d7-45c2-a4df-4e0e56d11138))[2] 安全功能规避 重要
Windows Server 2012 Internet Explorer 10 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=4ba22653-4dbf-48d0-8a95-7b38e5d23cbe)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 3029449
Windows Server 2012 Internet Explorer 10 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=59d5cb32-a2f6-4e9b-ac52-d9378a94b6b5))[2] 安全功能规避
Windows RT Internet Explorer 10[3] (3021952) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923 和 3029449
Windows RT Internet Explorer 10[3] (3034196)[2] 安全功能规避 重要
**Internet Explorer 11**
Windows 7(用于 32 位系统)Service Pack 1 Internet Explorer 11 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=4ada6cb2-f0d0-4e8a-b7d8-0c4cb5c25c70)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows 7(用于 32 位系统)Service Pack 1 Internet Explorer 11 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=44dd4ef7-e770-433a-b868-0b92ebfcd760))[2] 安全功能规避 重要
Windows 7(用于基于 x64 的系统)Service Pack 1 Internet Explorer 11 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=9547dc36-d73e-483a-8f5c-ea16000446ca)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows 7(用于基于 x64 的系统)Service Pack 1 Internet Explorer 11 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=eee620ed-df72-43de-873f-8029692d4737))[2] 安全功能规避 重要
Windows Server 2008 R2(用于基于 x64 的系统)Service Pack 1 Internet Explorer 11 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=32dc2f44-009f-4084-8e70-db9dce0eba8f)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Server 2008 R2(用于基于 x64 的系统)Service Pack 1 Internet Explorer 11 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=93b7dbe0-5c1d-444f-ae9f-12cf81c92900))[2] 安全功能规避
Windows 8.1(用于 32 位系统) Internet Explorer 11 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=076daf19-a6c3-41b1-8f58-68ca16a3d179)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows 8.1(用于 32 位系统) Internet Explorer 11 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=c501fec2-82a0-4371-98d7-2d63916e9eac))[2] 安全功能规避 重要
Windows 8.1(用于基于 x64 的系统) Internet Explorer 11 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=cd8262b0-a98a-435d-ab9e-7ad09f01391e)) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows 8.1(用于基于 x64 的系统) Internet Explorer 11 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=3bb43e28-4d91-461e-8cb4-024400111d7))[2] 安全功能规避 重要
Windows Server 2012 R2 Internet Explorer 11 ([3021952](https://www.microsoft.com/download/details.aspx?familyid=89594df0-bd4d-4fb0-9c4d-e1b57af6eba9)) 远程代码执行 中等 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows Server 2012 R2 Internet Explorer 11 ([3034196](https://www.microsoft.com/download/details.aspx?familyid=66b5447e-77ed-41e7-97ea-e4ba71145ba2))[2] 安全功能规避
Windows RT 8.1 Internet Explorer 11[3] (3021952) 远程代码执行 严重 [MS14-080](https://technet.microsoft.com/zh-cn/library/security/ms14-080) 中的 3008923
Windows RT 8.1 Internet Explorer 11[3] (3034196)[2] 安全功能规避 重要

[1]由更新 3021952 取代的更新取决于安装在您系统上的 VBScript 版本。

[2]手动安装更新的客户必须安装更新 3021952 之后,再安装更新 3034196。

[3]此更新通过 Windows 更新提供.

注意 Windows Technical Preview 和 Windows Server Technical Preview 均会受到影响。鼓励运行这些操作系统的客户应用此更新,此更新通过 Windows 更新提供。

更新常见问题

“受影响的软件”表中列出了针对 Internet Explorer 9、Internet Explorer 10 和 Internet Explorer 11 的多个更新数据包。我需要安装所有这些更新吗?
是的。客户应该应用为他们的系统上安装的软件提供的所有更新。如果您使用的是 Windows 更新、Windows Server Update Services (WSUS) 或 Microsoft 更新目录,则先安装更新 3021952。系统重启后,在 Windows 更新中再次检查更新,以获取并安装更新 3034196。在您安装更新 3021952 和 3034196 之前,您的系统将未完全受保护。

如果您手动下载和安装更新,则必须先安装更新 3021952,然后再安装更新 3034196。

有关详细信息,请参阅 Microsoft 知识库文章 3021952Microsoft 知识库文章 3034196

是否有我应注意的其他安全更新?
是的。为了解决安全公告 3009008 中所述的漏洞,在您安装更新 3021952 时将安装适用于 Internet Explorer 11 的其他更新。

  • 对于在 Windows 7 Service Pack 1 和 Windows 2008 R2 Service Pack 1 上运行 Internet Explorer 11 的客户,安装更新 3021952 时,也将自动安装更新 3023607。在默认情况下,更新 3023607 禁用 SSL 3.0 回退尝试。安装完成时,更新 3021952 和 3023607 将列为已安装更新。有关详细信息,请参阅 Microsoft 知识库文章 3023607

    如果手动下载和安装更新,则必须先安装更新 3021952,再安装 3023607。

  • 对于在 Windows 8.1、Windows 2012 R2 和 Windows RT 8.1 上运行 Internet Explorer 11 的客户,安装更新 3021952 时,也将自动安装更新 3023607 和 3036197。在默认情况下,更新 3023607 禁用 SSL 3.0 回退尝试。“组策略”设置需要更新 3036197,以在所有本地化语言中禁止出现 SSL 3.0 回退。Windows 7 和 Windows Server 2008 R2 中已安装此更新。安装完成时,更新 3021952、3036197 和 3023607 将列为已安装更新。有关详细信息,请参阅 Microsoft 知识库文章 3023607Microsoft 知识库文章 3036197

    如果手动下载和安装更新,则必须先安装更新 3021952,再安装 3023607 和 3036197。

严重等级和漏洞标识符

以下严重等级假设漏洞的可能的最大影响。有关此安全公告发布 30 天内,漏洞利用的严重等级和安全影响的可能性的信息,请参阅 2 月份公告摘要中的利用指数。

按照下表中的规定,“严重”、“重要”和“中等”值指明严重等级。有关详细信息,请参阅安全公告严重等级评定系统。按照规定,以下关键字中所示的缩写指明最大影响:

缩写

最大影响

RCE

远程代码执行

EoP

特权提升

ID

信息泄露

SFB

安全功能规避

  **严重等级和影响**

CVE 编号

漏洞标题

Internet Explorer 6

Internet Explorer 7

Internet Explorer 8

Internet Explorer 9

Internet Explorer 10

Internet Explorer 11

CVE-2014-8967

Internet Explorer 内存损坏漏洞

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

不适用

CVE-2015-0017

Internet Explorer 内存损坏漏洞

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0018

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0019

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

CVE-2015-0020

Internet Explorer 内存损坏漏洞

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0021

Internet Explorer 内存损坏漏洞

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

CVE-2015-0022

Internet Explorer 内存损坏漏洞

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0023

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

CVE-2015-0025

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

CVE 编号

漏洞标题

Internet Explorer 6

Internet Explorer 7

Internet Explorer 8

Internet Explorer 9

Internet Explorer 10

Internet Explorer 11

CVE-2015-0026

Internet Explorer 内存损坏漏洞

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0027

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0028

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

不适用

CVE-2015-0029

Internet Explorer 内存损坏漏洞

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

不适用

不适用

CVE-2015-0030

Internet Explorer 内存损坏漏洞

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0031

Internet Explorer 内存损坏漏洞

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0035

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0036

Internet Explorer 内存损坏漏洞

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0037

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0038

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE 编号

漏洞标题

Internet Explorer 6

Internet Explorer 7

Internet Explorer 8

Internet Explorer 9

Internet Explorer 10

Internet Explorer 11

CVE-2015-0039

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0040

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0041

Internet Explorer 内存损坏漏洞

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0042

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0043

Internet Explorer 内存损坏漏洞

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0044

Internet Explorer 内存损坏漏洞

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

不适用

CVE-2015-0045

Internet Explorer 内存损坏漏洞

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

不适用

不适用

CVE-2015-0046

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0048

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

不适用

CVE-2015-0049

Internet Explorer 内存损坏漏洞

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

CVE 编号

漏洞标题

Internet Explorer 6

Internet Explorer 7

Internet Explorer 8

Internet Explorer 9

Internet Explorer 10

Internet Explorer 11

CVE-2015-0050

Internet Explorer 内存损坏漏洞

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

不适用

CVE-2015-0051

Internet Explorer ASLR 规避漏洞

不适用

不适用

Windows 客户端:
重要/SFB

Windows 服务器:
低/SFB

不适用

不适用

不适用

CVE-2015-0052

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0053

Internet Explorer 内存损坏漏洞

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

不适用

不适用

CVE-2015-0054

Internet Explorer 特权提升漏洞

不适用

Windows 客户端:
重要/EoP

Windows 服务器:
低/EoP

Windows 客户端:
重要/EoP

Windows 服务器:
低/EoP

Windows 客户端:
重要/EoP

Windows 服务器:
低/EoP

Windows 客户端:
重要/EoP

Windows 服务器:
低/EoP

Windows 客户端:
重要/EoP

Windows 服务器:
低/EoP

CVE-2015-0055

Internet Explorer 特权提升漏洞

不适用

不适用

不适用

不适用

Windows 客户端:
重要/EoP

Windows 服务器:
低/EoP

Windows 客户端:
重要/EoP

Windows 服务器:
低/EoP

CVE-2015-0066

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0067

Internet Explorer 内存损坏漏洞

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

不适用

不适用

CVE-2015-0068

Internet Explorer 内存损坏漏洞

不适用

不适用

不适用

不适用

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

Windows 客户端:
严重/RCE

Windows 服务器:
中等/RCE

CVE-2015-0069

Internet Explorer ASLR 规避漏洞

不适用

不适用

不适用

不适用

Windows 客户端:
重要/ID

Windows 服务器:
低/ID

Windows 客户端:
重要/ID

Windows 服务器:
低/ID

CVE 编号

漏洞标题

Internet Explorer 6

Internet Explorer 7

Internet Explorer 8

Internet Explorer 9

Internet Explorer 10

Internet Explorer 11

CVE-2015-0070

Internet Explorer 跨域信息泄露漏洞

Windows 客户端:
重要/ID

Windows 服务器:
低/ID

Windows 客户端:
重要/ID

Windows 服务器:
低/ID

Windows 客户端:
重要/ID

Windows 服务器:
低/ID

Windows 客户端:
重要/ID

Windows 服务器:
低/ID

Windows 客户端:
重要/ID

Windows 服务器:
低/ID

Windows 客户端:
重要/ID

Windows 服务器:
低/ID

CVE-2015-0071

Internet Explorer ASLR 规避漏洞

不适用

不适用

不适用

Windows 客户端:
重要/SFB

Windows 服务器:
低/SFB

Windows 客户端:
重要/SFB

Windows 服务器:
低/SFB

Windows 客户端:
重要/SFB

Windows 服务器:
低/SFB

 

漏洞信息

Internet Explorer 中的多个内存损坏漏洞

当 Internet Explorer 不正确地访问内存中的对象时,存在远程执行代码漏洞。这些漏洞可能以一种攻击者可以在当前用户的上下文中执行任意代码的方式损坏内存。此更新通过修改 Internet Explorer 处理内存中对象的方式来解决漏洞。

攻击者可能拥有一个旨在通过 Internet Explorer 利用这些漏洞的经特殊设计的网站,然后诱使用户查看该网站。攻击者还可能利用受到破坏的网站以及接受或宿主用户提供的内容或添加了可利用这些漏洞的经特殊设计的内容的广告的网站。但是在所有情况下,攻击者都无法强制用户查看由攻击者控制的内容。相反,攻击者必须诱使用户采取行动,方法通常是让用户单击 Instant Messenger 或电子邮件中的链接以使用户链接到攻击者的网站,或者让用户打开通过电子邮件发送的附件。

成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录,成功利用这些漏洞的攻击者便可完全控制受影响的系统。攻击者可随后安装程序;查看、更改或删除数据;或者创建拥有完全用户权限的新帐户。频繁使用 Internet Explorer 的系统(如工作站或终端服务器)受这些漏洞的威胁最大。

下表包含指向“常见漏洞和披露”列表中每个漏洞标准条目的链接:

漏洞标题

CVE 编号

公开披露

已被利用

Internet Explorer 内存损坏漏洞

CVE-2014-8967

Internet Explorer 内存损坏漏洞

CVE-2015-0017

Internet Explorer 内存损坏漏洞

CVE-2015-0018

Internet Explorer 内存损坏漏洞

CVE-2015-0019

Internet Explorer 内存损坏漏洞

CVE-2015-0020

Internet Explorer 内存损坏漏洞

CVE-2015-0021

Internet Explorer 内存损坏漏洞

CVE-2015-0022

Internet Explorer 内存损坏漏洞

CVE-2015-0023

Internet Explorer 内存损坏漏洞

CVE-2015-0025

Internet Explorer 内存损坏漏洞

CVE-2015-0026

Internet Explorer 内存损坏漏洞

CVE-2015-0027

Internet Explorer 内存损坏漏洞

CVE-2015-0028

Internet Explorer 内存损坏漏洞

CVE-2015-0029

Internet Explorer 内存损坏漏洞

CVE-2015-0030

Internet Explorer 内存损坏漏洞

CVE-2015-0031

Internet Explorer 内存损坏漏洞

CVE-2015-0035

Internet Explorer 内存损坏漏洞

CVE-2015-0036

Internet Explorer 内存损坏漏洞

CVE-2015-0037

Internet Explorer 内存损坏漏洞

CVE-2015-0038

Internet Explorer 内存损坏漏洞

CVE-2015-0039

Internet Explorer 内存损坏漏洞

CVE-2015-0040

Internet Explorer 内存损坏漏洞

CVE-2015-0041

Internet Explorer 内存损坏漏洞

CVE-2015-0042

Internet Explorer 内存损坏漏洞

CVE-2015-0043

Internet Explorer 内存损坏漏洞

CVE-2015-0044

Internet Explorer 内存损坏漏洞

CVE-2015-0045

Internet Explorer 内存损坏漏洞

CVE-2015-0046

Internet Explorer 内存损坏漏洞

CVE-2015-0048

Internet Explorer 内存损坏漏洞

CVE-2015-0049

Internet Explorer 内存损坏漏洞

CVE-2015-0050

Internet Explorer 内存损坏漏洞

CVE-2015-0052

Internet Explorer 内存损坏漏洞

CVE-2015-0053

Internet Explorer 内存损坏漏洞

CVE-2015-0066

Internet Explorer 内存损坏漏洞

CVE-2015-0067

Internet Explorer 内存损坏漏洞

CVE-2015-0068

### 缓解因素 Microsoft 并未发现这些漏洞的任何[缓解因素](https://technet.microsoft.com/zh-cn/library/security/dn848375.aspx)。 ### 变通办法 Microsoft 并未发现这些漏洞的任何[变通办法](https://technet.microsoft.com/zh-cn/library/security/dn848375.aspx)。 ### 常见问题 **我正在运行适用于 Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 或 Windows Server 2012 R2 的 Internet Explorer。这是否会缓解这些漏洞的影响?**   是的。默认情况下,Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 和 Windows Server 2012 R2 上的 Internet Explorer 在一种称为“[增强安全配置](https://technet.microsoft.com/zh-cn/library/dd883248)”的受限模式下运行。增强安全配置是一组预先配置好的 Internet Explorer 设置,可以减小用户或管理员在服务器上下载并运行经特殊设计的 Web 内容的可能性。此缓解因素适用于未被添加到 Internet Explorer“可信站点区域”的网站。 **EMET 是否可帮助缓解试图利用这些漏洞的攻击?**   是的。增强的缓解体验工具包 (EMET) 使用户能够管理安全缓解技术,从而使攻击者更难利用指定软件中的漏洞。对于已经安装了 EMET 并配置为可与 Internet Explorer 一起使用的系统,EMET 有助于缓解 Internet Explorer 中这些漏洞。 有关 EMET 的详细信息,请参阅[增强的缓解体验工具包](https://technet.microsoft.com/zh-cn/security/jj653751)。 Internet Explorer 中的多个特权提升漏洞 -------------------------------------- 当 Internet Explorer 在特定条件下未正确验证权限时会导致这些特权提升漏洞,可能允许使用提升特权运行脚本。该更新通过向 Internet Explorer 添加其他权限验证来解决漏洞。 在基于 Web 的攻击情形中,攻击者可能拥有一个网站用于试图利用这些漏洞。另外,受到破坏的网站以及接受或宿主用户提供的内容的网站可能包含可能利用这些漏洞的经特殊设计的内容。但是在所有情况下,攻击者都无法强制用户查看由攻击者控制的内容。相反,攻击者必须说服用户执行操作。例如,攻击者可能哄骗用户单击链接以使用户链接到攻击者的网站。成功利用这些漏洞的攻击者可以在受影响的 Internet Explorer 版本中提升特权。 这些漏洞本身不允许运行任意代码。但是,这些漏洞可能与在运行任意代码时利用提升特权的另一漏洞(例如,远程执行代码漏洞)结合使用。例如,攻击者可以利用另一个漏洞以通过 Internet Explorer 运行任意代码,但是由于 Internet Explorer 启动的进程的上下文,代码可能被限制为在较低的完整性级别(权限非常有限)运行。但是,攻击者随后可能利用这些漏洞导致任意代码在中等完整性级别(当前用户的权限)运行。 下表包含指向“常见漏洞和披露”列表中每个漏洞标准条目的链接:

漏洞标题

CVE 编号

公开披露

已被利用

Internet Explorer 特权提升漏洞

CVE-2015-0054

Internet Explorer 特权提升漏洞

CVE-2015-0055

### 缓解因素 以下[缓解因素](https://technet.microsoft.com/zh-cn/library/security/dn848375.aspx)在您遇到的情形中可能会有所帮助: - 这些漏洞本身不允许运行任意代码。这些漏洞必须与允许远程执行代码的另一个漏洞一起使用。例如,攻击者可以利用另一个漏洞以通过 Internet Explorer 运行任意代码,但是由于 Internet Explorer 启动的进程的上下文,代码可能被限制为在较低的完整性级别(权限非常有限)运行。但是,攻击者随后可能利用任意一个漏洞导致任意代码在中等完整性级别(当前用户的权限)运行。 ### 变通办法 Microsoft 并未发现这些漏洞的任何[变通办法](https://technet.microsoft.com/zh-cn/library/security/dn848375.aspx)。 多个 Internet Explorer ASLR 规避漏洞 ------------------------------------ 当 Internet Explorer 不使用[地址空间布局随机化 (ASLR)](https://technet.microsoft.com/zh-cn/library/security/dn848375.aspx) 安全功能时,即存在安全功能规避漏洞,此漏洞可能允许攻击者能够更可靠地预测给定调用堆栈中特定指令的内存偏移。成功利用这些漏洞的攻击者可能规避[地址空间布局随机化 (ASLR)](https://technet.microsoft.com/zh-cn/library/security/dn848375.aspx) 安全功能,这一功能有助于保护用户避免许多漏洞的侵害。该安全功能规避本身不允许执行任意代码。但是,攻击者可以将 ASLR 规避漏洞与另一个漏洞(如远程执行代码漏洞)组合使用,从而利用 ASLR 规避来运行任意代码。例如,被 ASLR 阻止的远程代码执行漏洞在成功 ASLR 规避之后可能会被利用。 在 Web 浏览情况下,要成功利用这些漏洞,需要用户登录并运行 Internet Explorer 的受影响版本。因此,频繁使用 Web 浏览器的系统(如工作站或终端服务器)受这些漏洞的威胁最大。如果管理员允许用户浏览并读取服务器上的电子邮件,则服务器可能面临更大风险。不过,最佳做法是不要授予这样的权限。 此更新通过帮助确保 Internet Explorer 的受影响版本正确地实施 ASLR 安全功能来解决漏洞。 下表包含指向“常见漏洞和披露”列表中每个漏洞标准条目的链接:

漏洞标题

CVE 编号

公开披露

已被利用

Internet Explorer ASLR 规避漏洞

CVE-2015-0051

Internet Explorer ASLR 规避漏洞

CVE-2015-0069

Internet Explorer ASLR 规避漏洞

CVE-2015-0071

### 缓解因素 Microsoft 并未发现这些漏洞的任何[缓解因素](https://technet.microsoft.com/zh-cn/library/security/dn848375.aspx)。 ### 变通办法 Microsoft 并未发现这些漏洞的任何[变通办法](https://technet.microsoft.com/zh-cn/library/security/dn848375.aspx)。 Internet Explorer 跨域信息泄露漏洞 - CVE-2015-0070 -------------------------------------------------- 当 Internet Explorer 不正确地强制实施跨域策略时会导致信息泄露漏洞,允许攻击者获取访问其他域或 Internet Explorer 区域中信息的权限。此更新通过帮助确保在 Internet Explorer 中正确实施跨域策略来解决漏洞。 在基于 Web 的攻击情形中,攻击者可能拥有一个网站用于试图利用这些漏洞。另外,受到破坏的网站以及接受或宿主用户提供的内容的网站可能包含可能利用这些漏洞的经特殊设计的内容。但是在所有情况下,攻击者都无法强制用户查看由攻击者控制的内容。相反,攻击者必须说服用户执行操作。例如,攻击者可能哄骗用户单击链接以使用户链接到攻击者的网站。成功利用此漏洞的攻击者可查看其他域或 Internet Explorer 区域中的内容。 下表包含指向“常见漏洞和披露”列表中每个漏洞标准条目的链接:

漏洞标题

CVE 编号

公开披露

已被利用

Internet Explorer 跨域信息泄露漏洞

CVE-2015-0070

### 缓解因素 Microsoft 并未发现此漏洞的任何[缓解因素](https://technet.microsoft.com/zh-cn/library/security/dn848375.aspx)。 ### 变通办法 Microsoft 并未发现此漏洞的任何[变通办法](https://technet.microsoft.com/zh-cn/library/security/dn848375.aspx)。 ### 常见问题 **我正在运行适用于 Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 或 Windows Server 2012 R2 的 Internet Explorer。这是否会缓解这些漏洞的影响?**   是的。默认情况下,Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 和 Windows Server 2012 R2 上的 Internet Explorer 在一种称为“[增强安全配置](https://technet.microsoft.com/zh-cn/library/dd883248)”的受限模式下运行。增强安全配置是一组预先配置好的 Internet Explorer 设置,可以减小用户或管理员在服务器上下载并运行经特殊设计的 Web 内容的可能性。此缓解因素适用于未被添加到 Internet Explorer“可信站点区域”的网站。 安全更新部署 ------------ 有关安全更新部署信息,请参阅“摘要”中[此处](#kbarticle)引用的 Microsoft 知识库文章。 鸣谢 ---- Microsoft 通过协调漏洞披露渠道认可在安全社区中帮助我们对客户进行保护的人们所做出的努力。有关详细信息,请参阅[鸣谢](https://technet.microsoft.com/zh-cn/library/security/dn903755.aspx)。 免责声明 -------- Microsoft 知识库中的信息“按原样”提供,没有任何形式的担保。Microsoft 不作任何明示或暗示保证,包括对适销性和针对特定目的的适用性的保证。Microsoft Corporation 或其供应商不对任何损害(包括直接的、间接的、偶然的、必然的损害,商业利润损失,或特殊损害)承担任何责任,即使 Microsoft Corporation 或其供应商事先已被告知有可能发生此类损害。有些州不允许排除或限制必然或偶然损害的赔偿责任,因此上述限制可能不适用。 修订版本 -------- - V1.0(2015 年 2 月 10 日):公告已发布。 *页面生成时间:2015-02-04 11:22Z-08:00。*