Microsoft 資訊安全公告 MS16-013 - 重大

  • 發行項

用來解決遠端執行程式碼的 Windows 筆記本安全性更新 (3134811)

發行日期：2016 年 2 月 9 日

版本： 1.0

提要

此安全性更新可解決 Microsoft Windows 中的弱點。如果使用者開啟蓄意製作的筆記本檔案，此弱點可能會允許遠端執行程式碼。系統上帳戶使用者權限較低的使用者，其受影響的程度比擁有系統管理權限的使用者要小。

對於所有受支援版本的 Windows Vista、Windows 7、Windows 8.1 和 Windows 10 和所有受支援非 Itanium 版本的 Windows Server 2008 和 Windows Server 2008 R2，以及所有受支援版本的 Windows Server 2012 和 Windows Server 2012 R2，此安全性更新的等級為「重大」。如需更多資訊，請參閱＜受影響的軟體＞一節。

此更新會修改 Windows 筆記本剖析筆記本檔案的方式，以解決此弱點。如需有關此弱點的詳細資訊，請參閱＜弱點資訊＞一節。

如需有關此更新的詳細資訊，請參閱 Microsoft 知識庫文章編號 3134811。

受影響的軟體和弱點嚴重性等級

下列軟體版號或版本會受到影響。未列出的版號或版本不是超出支援週期就是不受影響。若要瞭解您的軟體版本的支援週期，請參閱 Microsoft 產品技術支援週期網站。

針對每個受影響的軟體所指出的嚴重性等級假設弱點可能產生最大影響。在本資訊安全公告發行的 30 天內，如需弱點之易遭利用性與嚴重性等級和安全性影響之間對應關係的資訊，請參閱2 月份公告摘要中的＜弱點入侵指數＞。

**受影響的軟體** [**Windows 筆記本記憶體損毀弱點 – CVE-2016-0038**](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2016-0038) **已取代更新**\*
**Windows Vista**
[Windows Vista Service Pack 2](https://www.microsoft.com/download/details.aspx?familyid=5d00ac0b-3004-4636-9808-1aa6a3d0f1bd) (3115858) **重大** 遠端執行程式碼 [MS15-114 中的 3100213](https://technet.microsoft.com/zh-tw/library/security/ms15-114)
[Windows Vista x64 Edition Service Pack 2](https://www.microsoft.com/download/details.aspx?familyid=410330fc-2804-4584-b5a4-11cf214f5961) (3115858) **重大** 遠端執行程式碼 [MS15-114 中的 3100213](https://technet.microsoft.com/zh-tw/library/security/ms15-114)
**Windows Server 2008**
[適用於 32 位元系統的 Windows Server 2008 Service Pack 2](https://www.microsoft.com/download/details.aspx?familyid=d4f73003-2c83-4690-9b61-c8da35fa8d11) (3115858) **重大** 遠端執行程式碼 [MS15-114 中的 3100213](https://technet.microsoft.com/zh-tw/library/security/ms15-114)
[適用於 x64 型系統的 Windows Server 2008 Service Pack 2](https://www.microsoft.com/download/details.aspx?familyid=16f6671c-d5b6-4b62-9af4-fc2b014e002d) (3115858) **重大** 遠端執行程式碼 [MS15-114 中的 3100213](https://technet.microsoft.com/zh-tw/library/security/ms15-114)
**Windows 7**
[適用於 32 位元系統的 Windows 7 Service Pack 1](https://www.microsoft.com/download/details.aspx?familyid=d384a98c-44f8-48ab-a750-cb3423263d50) (3115858) **重大** 遠端執行程式碼 [MS15-114 中的 3100213](https://technet.microsoft.com/zh-tw/library/security/ms15-114)
[適用於 x64 系統的 Windows 7 Service Pack 1](https://www.microsoft.com/download/details.aspx?familyid=ad933ffb-6827-4593-9aa5-44adc4ef49bd) (3115858) **重大** 遠端執行程式碼 [MS15-114 中的 3100213](https://technet.microsoft.com/zh-tw/library/security/ms15-114)
**Windows Server 2008 R2**
[適用於 x64 系統的 Windows Server 2008 R2 Service Pack 1](https://www.microsoft.com/download/details.aspx?familyid=e658b762-9d9d-4a9b-82e6-88e49ab5a610) (3115858) **重大** 遠端執行程式碼 [MS15-114 中的 3100213](https://technet.microsoft.com/zh-tw/library/security/ms15-114)
**Windows 8.1**
[適用於 32 位元系統的 Windows 8.1](https://www.microsoft.com/download/details.aspx?familyid=df9da91e-67d5-45a9-b072-2512fc02efee) (3115858) **重大** 遠端執行程式碼 [MS15-098](https://go.microsoft.com/fwlink/?linkid=3069114) 中的 3069114
[適用於 x64 型系統的 Windows 8.1](https://www.microsoft.com/download/details.aspx?familyid=f0574dfe-4b3a-43c7-b33e-e10c44332780) (3115858) **重大** 遠端執行程式碼 [MS15-098](https://go.microsoft.com/fwlink/?linkid=3069114) 中的 3069114
**Windows Server 2012 和 Windows Server 2012 R2**
[Windows Server 2012](https://www.microsoft.com/download/details.aspx?familyid=a87f3a4b-76fc-454e-ba68-4a1d1ae5778e) (3115858) **重大** 遠端執行程式碼 [MS15-098](https://technet.microsoft.com/zh-tw/library/security/ms15-098) 中的 3069114
[Windows Server 2012 R2](https://www.microsoft.com/download/details.aspx?familyid=2620ef65-f0db-46c2-ac7b-bee2386f8345) (3115858) **重大** 遠端執行程式碼 [MS15-098](https://technet.microsoft.com/zh-tw/library/security/ms15-098) 中的 3069114
**Windows 10**
[適用於 32 位元系統的 Windows 10](https://support.microsoft.com/zh-tw/kb/3135174)[1] (3135174) **重大** 遠端執行程式碼 [3124266](https://support.microsoft.com/zh-tw/kb/3124266)
[適用於 x64 型系統的 Windows 10](https://support.microsoft.com/zh-tw/kb/3135174)[1] (3135174) **重大** 遠端執行程式碼 [3124266](https://support.microsoft.com/zh-tw/kb/3124266)
[適用於 32 位元系統的 Windows 10 1511 版](https://support.microsoft.com/zh-tw/kb/3135173)[1] (3135173) **重大** 遠端執行程式碼 [3116900](https://support.microsoft.com/zh-tw/kb/3116900)
[適用於 x64 型系統的 Windows 10 1511 版](https://support.microsoft.com/zh-tw/kb/3135173)[1] (3135173) **重大** 遠端執行程式碼 [3116900](https://support.microsoft.com/zh-tw/kb/3116900)
[1]Windows 10 更新是累積性的。除了含有非安全性更新之外，其中還含有每月安全性更新發行隨附之所有受影響 Windows 10 弱點的所有安全性修正程式。此更新透過 [Windows Update Catalog](https://catalog.update.microsoft.com/v7/site/home.aspx) 提供。

* [已取代更新] 資料行僅顯示任何被取代更新鏈結中的最新更新。如需完整的已取代更新清單，請前往 Microsoft Update Catalog (英文)，搜尋更新知識庫文章編號，然後檢視更新詳細資料 (已取代更新資訊位於 [套件詳細資料] 索引標籤)。

注意 Windows Server Technical Preview 4 將受到影響。建議執行此作業系統的客戶套用更新，您可以透過 Windows Update 取得更新。

更新常見問題集

我正在執行受影響的軟體表格內的其中一個作業系統。為什麼我沒有收到筆記本更新？
此更新只提供給安裝 Windows 筆記本的以下系統。

  • 在受支援的 Windows Server 2008 版本上，依預設不會安裝 Windows 筆記本。啟用桌面體驗功能時即會加以安裝。因此，只在啟用桌面體驗時，Windows 筆記本的更新才適用。
  • 在受支援的 Windows Server 2008 R2、Windows Server 2012 和 Windows Server 2012 R2 版本上，依預設不會安裝 Windows 筆記本。啟用筆跡和手寫服務功能即會加以安裝。因此，只在啟用筆跡和手寫服務時，Windows 筆記本的更新才適用。

弱點資訊

Windows 筆記本記憶體損毀弱點 - CVE-2016-0038

在 Windows 筆記本中開啟蓄意製作的筆記本檔案時，Microsoft Windows 即會存在遠端執行程式碼弱點。成功利用此弱點的攻擊者可使任意程式碼以目前使用者的權限層級執行。如果使用者以系統管理使用者權限登入，則攻擊者即可取得受影響系統的控制權。攻擊者接下來將能安裝程式；檢視、變更或刪除資料，或建立具有完整使用者權限的新帳戶。系統上帳戶使用者權限較低的使用者，其受影響的程度比擁有系統管理權限的使用者要小。

攻擊若要成功，此弱點需要使用者使用受影響的 Windows 筆記本版本開啟蓄意製作的筆記本檔案。在電子郵件攻擊案例中，攻擊者可能會傳送蓄意製作的筆記本檔案給使用者，然後引誘使用者開啟該檔案，來利用此弱點。

此更新會修改 Windows 筆記本剖析筆記本檔案的方式，以解決此弱點。

下表包含「一般性弱點」清單中每個弱點的標準項目連結：

弱點標題 CVE 編號 已公開揭露 是否遭到利用
Windows 筆記本記憶體損毀弱點 CVE-2016-0038 否 否
### 緩和因素 Microsoft 尚未找到此項弱點的任何[緩和因素](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 因應措施 下列[因應措施](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)可能對您的狀況有所助益： - **不開啟可疑的檔案附件** 對於來自於不受信任的來源或在非預期情況下從信任來源收到的 Windows 筆記本 (.jnt) 檔案，請勿隨意開啟。當使用者開啟蓄意製作的檔案時，即可能遭受利用此弱點的攻擊。 在 **Windows 7** 或 **Vista** 上： 1. 按一下 **\[開始\]**，按一下 **\[控制台\]**，然後 按一下 **\[程式集\]**。 2. 按一下 **\[開啟或關閉 Windows 功能\]**。 3. 取消核取 **\[平板電腦元件\]** (Windows Vista 的系統上的**平板電腦選用元件**)。 4. 按一下 **\[確定\]**。 **因應措施的影響。**使用者將無法使用 Windows 筆記本或其他平板電腦元件。 **注意** Windows 8 和 Windows 8.1 不提供停用 Windows 筆記本的機制。 **如何復原因應措施**。 1. 按一下 **\[開始\]**，按一下 **\[控制台\]**，然後 按一下 **\[程式集\]**。 2. 按一下 **\[開啟或關閉 Windows 功能\]**。 3. 核取 **\[平板電腦元件\]** (Windows Vista 的系統上的**平板電腦選用元件**)。 4. 按一下 **\[確定\]**。 - **移除 .jnt 檔案類型關聯** **互動式方法：** **注意：**不當使用「登錄編輯程式」可能會造成嚴重的問題，甚至可能需要重新安裝您的作業系統。Microsoft 不保證可以解決您不當使用「登錄編輯程式」所導致的問題。請自行承擔使用 \[登錄編輯程式\] 的風險。如需有關如何編輯登錄的資訊，請檢視「登錄編輯程式」(Regedit.exe) 中的＜變更機碼及數值＞說明主題，或是 Regedt32.exe 中的＜新增及刪除登錄中的資訊＞與＜編輯登錄資料＞說明主題。 若要使用互動式方法移除 .jnt 檔案類型關聯，請依照下列步驟執行： 1. 按一下 **\[開始\]**，按一下 **\[執行\]**，輸入 **regedit**，然後按一下 **\[確定\]**。 2. 展開 **\[HKEY\_CLASSES\_ROOT\]**、按一下 **\[jntfile\]**，再按一下 **\[檔案\]** 功能表，然後選取 **\[匯出\]**。 3. 在 **\[匯出登錄檔案\]** 對話方塊中，鍵入 **jntfile HKCR file association registry backup.reg**，再按一下 **\[儲存\]**。這個動作預設會在 \[我的文件\] 資料夾中建立此登錄機碼的備份。 4. 按下鍵盤上的 **Delete** 鍵來刪除登錄機碼。出現刪除登錄值的提示時，請按一下 **\[是\]**。 5. 依序展開 **\[HKEY\_CURRENT\_USER\]**、**\[Software\]**、**\[Microsoft\]**、**\[Windows\]**、**\[CurrentVersion\]**、**\[Explorer\]**，以及 **\[FileExts\]**。 6. 按一下 **\[.jnt\]**，再按一下 **\[檔案\]** 功能表，然後選取 **\[匯出\]**。 7. 在 **\[匯出登錄檔案\]** 對話方塊中，鍵入 **.jntHKCU file association registry backup.reg**，再按一下 **\[儲存\]**。這個動作預設會在 \[我的文件\] 資料夾中建立此登錄機碼的備份。 8. 按下鍵盤上的 **Delete** 鍵來刪除登錄機碼。出現刪除登錄值的提示時，請按一下 **\[是\]**。 **使用管理的指令碼：** **注意：**不當使用 \[登錄編輯程式\] 可能會造成嚴重的問題，甚至可能需要重新安裝您的作業系統。Microsoft 不保證可以解決您不當使用「登錄編輯程式」所導致的問題。請自行承擔使用 \[登錄編輯程式\] 的風險。如需有關如何編輯登錄的資訊，請檢視「登錄編輯程式」(Regedit.exe) 中的＜變更機碼及數值＞說明主題，或是 Regedt32.exe 中的＜新增及刪除登錄中的資訊＞與＜編輯登錄資料＞說明主題。 若要使用互動式受管理指令碼移除 .jnt 檔案類型關聯，請依照下列步驟執行： 1. 使用下列管理部署指令碼，建立登錄機碼的備份： ``` Regedit.exe /e jntfile_HKCR_registry_backup.reg HKEY_CLASSES_ROOT\jntfileRegedit.exe /e jnt_HKCU_registry_backup.reg HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.jnt ``` 2. 將下列登錄機碼儲存到副檔名為 reg 的檔案中 (例如 Delete\_jnt\_file\_association.reg)： ``` Windows Registry Editor Version 5.00[-HKEY_CLASSES_ROOT\jntfile][-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.jnt] ``` 3. 使用下述命令，在目標電腦上執行步驟 2 所建立的登錄指令碼： ``` Regedit.exe /s Delete_jnt_file_association.reg ``` 
**因應措施的影響。**按兩下 .Jnt 檔案將不再啟動 journal.exe。

**如何復原因應措施：**

還原此登錄機碼，方法是使用「登錄編輯程式」來還原儲存在 .REG 檔中的設定。

  • 移除 Windows 筆記本，方法是停用安裝它的 Windows 功能

    在 Windows Vista 與 Windows 7 系統上，請依照下列步驟執行：

    1. 按一下 [開始]，按一下 [控制台]，然後按一下 [程式集]。
    2. 按一下 [開啟或關閉 Windows 功能]，然後清除 [Tablet PC 選用元件] (Windows Vista 系統) 或 [Tablet PC 元件] (Windows 7 系統) 的核取方塊。
    3. 按一下 [確定]。

    **因應措施的影響。**Windows 筆記本會從系統中移除。

    如何復原因應措施：

    若要在 Windows Vista 或 Windows 7 系統上重新安裝 Windows 筆記本，請依照下列步驟執行：

    1. 按一下 [開始]，按一下 [控制台]，然後按一下 [程式集]。
    2. 按一下 [開啟或關閉 Windows 功能]，然後選取 [Tablet PC 選用元件] (Windows Vista 系統) 或 [Tablet PC 元件] (Windows 7 系統) 的核取方塊。
    3. 按一下 [確定]。

  • 拒絕 Journal.exe 的存取

    若要拒絕 Journal.exe 的存取，請在系統管理命令提示字元中輸入下列命令：

     > takeown.exe /f "%ProgramFiles%\Windows Journal\Journal.exe"> icacls.exe "%ProgramFiles%\Windows Journal\Journal.exe" /deny everyone:(F)

    **因應措施的影響。**Windows 筆記本會變成無法存取。

    如何復原因應措施：

    若要恢復 Journal.exe 的存取，請在系統管理命令提示字元中輸入下列命令：

     > icacls.exe "%ProgramFiles%\Windows Journal\Journal.exe" /remove:d everyone

安全性更新部署

如需安全性更新部署資訊，請在這裡參閱＜提要＞中的 Microsoft 知識庫文章。

致謝

Microsoft 了解資訊安全業界所做的努力，其盡責地透露弱點來協助我們保護客戶。請參閱致謝 (英文) 以取得詳細資訊。

免責聲明

Microsoft 知識庫 (Microsoft Knowledge Base) 中的資訊係以其「現狀」提供，並不提供任何形式之擔保。Microsoft 不做任何明示或默示的責任擔保，包括適售性以及適合某特定用途之擔保責任。無論任何情況下的損害，Microsoft Corporation 及其供應商皆不負任何法律責任，包括直接、間接、偶發、衍生性、所失業務利益或特殊損害。即使 Microsoft Corporation 及其供應商已被告知此類損害的可能性亦不負任何責任。某些地區不允許排除及限制衍生性或附隨損害賠償責任，因此前述限制不適用於這些地區。

修訂

  • V1.0 (2016 年 2 月 9 日)：公告發行。

頁面產生時間：2016-02-03 12:01-08:00。