Microsoft 資訊安全公告 MS17-006 - 重大

Internet Explorer 累積安全性更新 (4013073)

發行日期：2017 年 3 月 14 日

版本： 1.0

提要

此安全性更新可解決 Internet Explorer 中的弱點。如果使用者使用 Internet Explorer 檢視蓄意製作的網頁，最嚴重的弱點可能會允許遠端執行程式碼。成功利用這些弱點的攻擊者可能會取得與目前使用者相同的使用者權限。如果目前的使用者以系統管理使用者權限登入，則成功利用此弱點的攻擊者可能會取得受影響系統的控制權。攻擊者接下來將能安裝程式，檢視、變更或刪除資料，或建立具有完整使用者權限的新帳戶。

對於受影響的 Windows 用戶端上的 Internet Explorer 9 (IE 9) 和 Internet Explorer 11 (IE 11)，此安全性更新的嚴重性等級為「重大」；對於受影響的 Windows 伺服器上的 Internet Explorer 9 (IE 9)、Internet Explorer 10 (IE 10) 和 Internet Explorer 11 (IE 11)，此安全性更新的嚴重性等級則為「中度」。如需詳細資訊，請參閱＜受影響的軟體＞一節。

如需有關弱點的詳細資訊，請參閱＜弱點資訊＞一節。

如需有關此更新的詳細資訊，請參閱 Microsoft 知識庫文章 4013073。

受影響的軟體

下列軟體版號或版本會受到影響。未列出的版號或版本不是超出支援週期就是不受影響。若要了解您的軟體版本的支援週期，請參閱 Microsoft 產品技術支援週期網站。

針對每個受影響的軟體所指出的嚴重性等級假設弱點可能產生最大影響。在本資訊安全公告發行的 30 天內，如需弱點之易遭利用性與嚴重性等級和資訊安全影響之間對應關係的資訊，請參閱 3 月份公告摘要中的＜弱點入侵指數＞。

注意 請參閱安全性更新導覽，了解取用安全性更新資訊的新方法。您可以自訂您的檢視並建立受影響軟體清單，以及透過符合 REST 限制的 API 下載資料。如需詳細資訊，請參閱安全性更新導覽常見問題集。提醒您，「安全性更新導覽」將會取代資訊安全公告。請參閱我們的部落格文章將我們的承諾延續至安全性更新 (英文)，取得詳細資訊。

**作業系統**	**元件**	**最大資訊安全影響**	**彙總嚴重性等級**	**取代的更新**\*
**Internet Explorer 9**
Windows Vista Service Pack 2	[Internet Explorer 9](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012204) (4012204)	遠端執行程式碼	重大	[MS16-144](https://go.microsoft.com/fwlink/?linkid=834441) 中的 3203621
Windows Vista Service Pack 2	[Microsoft 網際網路郵件 API](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3218362) (3218362)	資訊洩漏	重要	[MS16-126](https://go.microsoft.com/fwlink/?linkid=829052) 中的 3193515
Windows Vista x64 Edition Service Pack 2	[Internet Explorer 9](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012204) (4012204)	遠端執行程式碼	重大	[MS16-144](https://go.microsoft.com/fwlink/?linkid=834441) 中的 3203621
Windows Vista x64 Edition Service Pack 2	[Microsoft 網際網路郵件 API](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3218362) (3218362)	資訊洩漏	重要	[MS16-126](https://go.microsoft.com/fwlink/?linkid=829052) 中的 3193515
適用於 32 位元系統的 Windows Server 2008 Service Pack 2	[Internet Explorer 9](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012204) (4012204)	遠端執行程式碼	中度	[MS16-144](https://go.microsoft.com/fwlink/?linkid=834441) 中的 3203621
適用於 32 位元系統的 Windows Server 2008 Service Pack 2	[Microsoft 網際網路郵件 API](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3218362) (3218362)	資訊洩漏	重要	[MS16-126](https://go.microsoft.com/fwlink/?linkid=829052) 中的 3193515
適用於 x64 型系統的 Windows Server 2008 Service Pack 2	[Internet Explorer 9](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012204) (4012204)	遠端執行程式碼	中度	[MS16-144](https://go.microsoft.com/fwlink/?linkid=834441) 中的 3203621
適用於 x64 型系統的 Windows Server 2008 Service Pack 2	[Microsoft 網際網路郵件 API](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3218362) (3218362)	資訊洩漏	重要	[MS16-126](https://go.microsoft.com/fwlink/?linkid=829052) 中的 3193515
**Internet Explorer 10**
Windows Server 2012 僅限安全性	[Internet Explorer 10 ](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012204) (4012204)	遠端執行程式碼	中度	無
Windows Server 2012 每月彙總套件[1]	[Internet Explorer 10](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012217) (4012217)	遠端執行程式碼	中度	[3205409](https://go.microsoft.com/fwlink/?linkid=834441)
**Internet Explorer 11**
適用於 32 位元系統的 Windows 7 Service Pack 1 僅限安全性	[Internet Explorer 11 ](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012204) (4012204)	遠端執行程式碼	重大	無
適用於 32 位元系統的 Windows 7 Service Pack 1 每月彙總套件[2]	[Internet Explorer 11 ](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012215) (4012215)	遠端執行程式碼	重大	[3212646](https://support.microsoft.com/zh-tw/kb/3212646)
適用於 x64 型系統的 Windows 7 Service Pack 1 僅限安全性	[Internet Explorer 11 ](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012204) (4012204)	遠端執行程式碼	重大	無
適用於 x64 型系統的 Windows 7 Service Pack 1 每月彙總套件[3]	[Internet Explorer 11 ](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012215) (4012215)	遠端執行程式碼	重大	[3212646](https://support.microsoft.com/zh-tw/kb/3212646)
適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 僅限安全性	[Internet Explorer 11 ](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012204) (4012204)	遠端執行程式碼	中度	無
適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 每月彙總套件[3]	[Internet Explorer 11 ](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012215) (4012215)	遠端執行程式碼	中度	[3212646](https://support.microsoft.com/zh-tw/kb/3212646)
適用於 32 位元系統的 Windows 8.1 僅限安全性	[Internet Explorer 11 ](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012204) (4012204)	遠端執行程式碼	重大	無
適用於 32 位元系統的 Windows 8.1 每月彙總套件[3]	[Internet Explorer 11 ](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012216) (4012216)	遠端執行程式碼	重大	[3205401](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3205401)
適用於 x64 型系統的 Windows 8.1 僅限安全性	[Internet Explorer 11 ](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012204) (4012204)	遠端執行程式碼	重大	無
適用於 x64 型系統的 Windows 8.1 每月彙總套件[3]	[Internet Explorer 11 ](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012216) (4012216)	遠端執行程式碼	重大	[3205401](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3205401)
Windows Server 2012 R2 僅限安全性	[Internet Explorer 11 ](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012204) (4012204)	遠端執行程式碼	中度	無
Windows Server 2012 R2 每月彙總套件[3]	[Internet Explorer 11 ](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012216) (4012216)	遠端執行程式碼	中度	[3205401](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3205401)
Windows RT 8.1 每月彙總套件[2][3]	Internet Explorer 11 (4012216)	遠端執行程式碼	重大	[3205401](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3205401)
[適用於 32 位元系統的 Windows 10](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012606)\[4\] (4012606)	Internet Explorer 11	遠端執行程式碼	重大	[3210720](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3210720)
[適用於 x64 型系統的 Windows 10](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4012606)\[4\] (4012606)	Internet Explorer 11	遠端執行程式碼	重大	[3210720](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3210720)
[適用於 32 位元系統的 Windows 10 1511 版](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4013198)\[4\] (4013198)	Internet Explorer 11	遠端執行程式碼	重大	[3210721](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3210721)
[適用於 x64 型系統的 Windows 10 1511 版](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4013198)\[4\] (4013198)	Internet Explorer 11	遠端執行程式碼	重大	[3210721](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3210721)
[適用於 32 位元系統的 Windows 10 1607 版](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4013429)\[4\] (4013429)	Internet Explorer 11	遠端執行程式碼	重大	[3213986](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3213986)
[適用於 x64 型系統的 Windows 10 1607 版](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4013429)\[4\] (4013429)	Internet Explorer 11	遠端執行程式碼	重大	[3213986](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3213986)
[適用於 x64 型系統的 Windows Server 2016](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb4013429)\[4\] (4013429)	Internet Explorer 11	遠端執行程式碼	中度	[3213986](https://catalog.update.microsoft.com/v7/site/search.aspx?q=kb3213986)

^[1]Internet Explorer 9 使用者還必須安裝安全性更新 3218362，才能完全防範 CVE-2017-0008。

^[2]此更新透過 Windows Update 提供。

^[3]自 2016 年 10 月版起，Microsoft 已變更 Windows 7、Windows Server 2008 R2、Windows 8.1、Windows Server 2012 和 Windows Server 2012 R2 的更新服務模式。如需詳細資訊，請參閱此 Microsoft TechNet 文章。 

[4]Windows 10 和 Windows Server 2016 更新是累積性的。每月安全性發行包含所有影響 Windows 10 和 Windows Server 2016 的弱點安全性修正程式，以及非安全性更新。更新透過 Microsoft Update Catalog 提供。請注意，自 2016 年 12 月 13 日起，Windows 10 和 Windows Server 2016 的累積更新詳細資料將記錄在版本資訊中。請參閱版本資訊，了解 OS 組建編號、已知問題和受影響的檔案清單資訊。

*[取代的更新] 欄位僅顯示所有已取代更新鏈結中的最新更新。如需完整的已取代更新清單，請前往 Microsoft Update Catalog，搜尋更新知識庫文章編號，然後檢視更新詳細資料 (取代的更新資訊位於 [Package Details] 索引標籤)。

更新常見問題集

除了安裝本更新之外，若要保護自己不受任何本公告所述弱點的影響，我是否還需要採取其他步驟？
是。對於 Vista 和 Windows Server 2008 作業系統，只安裝 4012204 累積更新無法完全防範 CVE-2017-0008 — 您還必須安裝 MS17-006 中的安全性更新 3218362，才能完全杜絕資訊安全漏洞。

嚴重性等級和弱點識別碼

下列嚴重性等級是假設弱點可能造成的最嚴重影響而評定。在本資訊安全公告發行的 30 天內，如需弱點之易遭利用性與嚴重性等級和資訊安全影響之間對應關係的資訊，請參閱 3 月份公告摘要中的＜弱點入侵指數＞。

「嚴重性等級和影響」表中指定的「重大」、「重要」與「中度」值代表嚴重性等級。如需更多資訊，請參閱資訊安全公告嚴重性等級系統。請參閱表格中使用的下列縮寫鍵來表示最大的影響：

縮寫	最嚴重影響
RCE	遠端執行程式碼
EoP	權限提高
ID	資訊洩漏
SFB	安全性功能略過

**弱點嚴重性等級和影響**
**CVE 編號**	**弱點標題**	**Internet Explorer 9**	**Internet Explorer 10**	**Internet Explorer 11**	**Windows 10** **的 Internet Explorer 11**
[CVE-2017-0008](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2017-0008)	Internet Explorer 資訊洩漏弱點	Windows 用戶端： **重要/ID** Windows 伺服器： **低/ID**	Windows 伺服器： **低/ID**	Windows 用戶端： **重要/ID** Windows 伺服器： **低/ID**	Windows 用戶端： **重要/ID** Windows 伺服器： **低/ID**
[CVE-2017-0009](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2017-0009)	Microsoft 瀏覽器資訊洩漏弱點	Windows 用戶端： **重要/ID** Windows 伺服器： **低/ID**	Windows 伺服器： **低/ID**	Windows 用戶端： **重要/ID** Windows 伺服器： **低/ID**	Windows 用戶端： **重要/ID** Windows 伺服器： **低/ID**
[CVE-2017-0012](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2017-0012)	Microsoft 瀏覽器詐騙弱點	不適用	不適用	Windows 用戶端： **重要/詐騙** Windows 伺服器： **低/詐騙**	Windows 用戶端： **重要/詐騙** Windows 伺服器： **低/詐騙**
[CVE-2017-0018](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2017-0018)	Internet Explorer 記憶體損毀弱點	不適用	Windows 伺服器： **中度/RCE**	Windows 用戶端： **重大/RCE** Windows 伺服器： **中度/RCE**	Windows 用戶端： **重大/RCE** Windows 伺服器： **中度/RCE**
[CVE-2017-0033](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2017-0033)	Microsoft 瀏覽器詐騙弱點	不適用	不適用	Windows 用戶端： **重要/詐騙** Windows 伺服器： **低/詐騙**	Windows 用戶端： **重要/詐騙** Windows 伺服器： **低/詐騙**
[CVE-2017-0037](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2017-0037)	Microsoft 瀏覽器記憶體損毀弱點	不適用	Windows 伺服器： **中度/RCE**	Windows 用戶端： **重大/RCE** Windows 伺服器： **中度/RCE**	Windows 用戶端： **重大/RCE** Windows 伺服器： **中度/RCE**
[CVE-2017-0040](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2017-0040)	指令碼引擎記憶體損毀弱點	Windows 用戶端： **重大/RCE** Windows 伺服器： **中度/RCE**	Windows 伺服器： **中度/RCE**	Windows 用戶端： **重大/RCE** Windows 伺服器： **中度/RCE**	Windows 用戶端： **重大/RCE** Windows 伺服器： **中度/RCE**
[CVE-2017-0049](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2017-0049)	指令碼引擎資訊洩漏弱點	不適用	不適用	Windows 用戶端： **重要/ID** Windows 伺服器： **低/ID**	Windows 用戶端： **重要/ID** Windows 伺服器： **低/ID**
[CVE-2017-0059](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2017-0059)	Internet Explorer 資訊洩漏弱點	Windows 用戶端： **重要/ID** Windows 伺服器： **低/ID**	Windows 伺服器： **低/ID**	Windows 用戶端： **重要/ID** Windows 伺服器： **低/ID**	Windows 用戶端： **重要/ID** Windows 伺服器： **低/ID**
[CVE-2017-0130](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2017-0130)	指令碼引擎記憶體損毀弱點	Windows 用戶端： **重大/RCE** Windows 伺服器： **中度/RCE**	Windows 伺服器： **中度/RCE**	Windows 用戶端： **重大/RCE** Windows 伺服器： **中度/RCE**	Windows 用戶端： **重大/RCE** Windows 伺服器： **中度/RCE**
[CVE-2017-0149](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2017-0149)	Microsoft Internet Explorer 記憶體損毀弱點	Windows 用戶端： **重大/RCE** Windows 伺服器： **中度/RCE**	Windows 伺服器： **中度/RCE**	Windows 用戶端： **重大/RCE** Windows 伺服器： **中度/RCE**	Windows 用戶端： **重大/RCE** Windows 伺服器： **中度/RCE**
[CVE-2017-0154](https://www.cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2017-0154)	Internet Explorer 權限提高弱點	不適用	不適用	不適用	Windows 用戶端： **重要/EoP** Windows 伺服器： **低/EoP**

弱點資訊

多項資訊洩漏弱點

受影響元件處理記憶體中物件的方式中，存在資訊洩漏弱點。成功利用這些弱點的攻擊者可能會取得相關資訊來進一步侵入目標系統。

在網頁型攻擊案例中，攻擊者可能會架設網站來嘗試利用弱點。此外，受侵害的網站以及接受或存放使用者提供之內容的網站裡，也可能包含蓄意製作以利用這些弱點的內容。但是，無論如何，攻擊者無法強迫使用者檢視受攻擊者控制的內容，而是必須引誘使用者採取行動。例如，攻擊者可以引誘使用者按一下通往攻擊者網站的連結。

此安全性更新會更正受影響元件處理記憶體中物件的方式，藉此解決弱點。

下表包含一般弱點及安全風險清單中，各個弱點的標準項目連結：

弱點標題	CVE 編號	已公開揭露	是否遭到利用
Internet Explorer 資訊洩漏弱點	CVE-2017-0008	是	不是
Microsoft 瀏覽器資訊洩漏弱點	CVE-2017-0009	否	否
指令碼引擎資訊洩漏弱點	CVE-2017-0049	否	否
Internet Explorer 資訊洩漏弱點	CVE-2017-0059	否	否

### 緩和因素 Microsoft 尚未找到這些弱點的任何[緩和因素](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 因應措施 Microsoft 尚未在這些弱點識別出任何[因應措施](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 多個 Microsoft 瀏覽器記憶體損毀弱點 ----------------------------------- 受影響的 Microsoft 瀏覽器不當存取記憶體中的物件時，即存在多個遠端執行程式碼弱點。這些弱點可能會損毀記憶體，使攻擊者有機會以目前使用者的權限層級執行任意程式碼。成功利用這些弱點的攻擊者可能會取得與目前使用者相同的使用者權限。如果目前使用者以系統管理的使用者權限登入，則攻擊者即可取得受影響系統的控制權。攻擊者接下來將能安裝程式，檢視、變更或刪除資料，或建立具有完整使用者權限的新帳戶。 攻擊者可能會針對經由受影響 Microsoft 瀏覽器引起的弱點來設計並架設蓄意製作的網站，然後引誘使用者檢視該網站。攻擊者也可能利用受侵害的網站，或者接受或存放使用者提供之內容或廣告的網站 (透過新增蓄意製作以利用此弱點的內容)。不過，在任何案例中，攻擊者無法強迫使用者檢視攻擊者控制的內容。而是攻擊者必須引誘使用者採取動作，一般是藉助電子郵件的附件或 Instant Messenger 訊息，或是讓他們開啟經由電子郵件傳送的附件。 此更新會修改 Microsoft 瀏覽器處理記憶體中物件的方式，藉此解決這些弱點。 下表包含一般弱點及安全風險清單中，各個弱點的標準項目連結：

弱點標題	CVE 編號	已公開揭露	是否遭到利用
Internet Explorer 記憶體損毀弱點	CVE-2017-0018	否	否
Microsoft 瀏覽器記憶體損毀弱點	CVE-2017-0037	是	不是
Internet Explorer 記憶體損毀弱點	CVE-2017-0149	否	是

### 緩和因素 Microsoft 尚未找到這些弱點的任何[緩和因素](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 因應措施 Microsoft 尚未在這些弱點識別出任何[因應措施](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 常見問題集 **我使用的是 Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 或 Windows Server 2012 R2 的 Internet Explorer。這樣是否會減輕這些弱點的影響？** 是。依照預設，Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 和 Windows Server 2012 R2 上的 Internet Explorer 會以稱為[增強式資訊安全設定](https://technet.microsoft.com/zh-tw/library/dd883248)的受限制模式執行。增強式資訊安全設定是一組預先設定好的 Internet Explorer 設定，可以降低使用者或系統管理員在伺服器下載及執行蓄意製作之網頁內容的可能性。對於您尚未新增至 Internet Explorer \[信任的網站\] 區域的網站，這是一種緩和因素。 **EMET 是否有助於緩和企圖利用這些弱點的攻擊？** 是。Enhanced Mitigation Experience Toolkit (EMET) 可讓使用者管理資訊安全緩和技術，此技術讓攻擊者更難利用特定軟體中的記憶體損毀弱點。在有安裝 EMET，並將其設定為能用於 Internet Explorer 的系統上，EMET 有助於緩和 Internet Explorer 中利用這些資訊安全風險所嘗試的攻擊。 如需更多關於 EMET 的資訊，請參閱 [Enhanced Mitigation Experience Toolkit](https://technet.microsoft.com/zh-tw/security/jj653751)。 多個 Microsoft 瀏覽器詐騙弱點 ----------------------------- 當 Microsoft 瀏覽器未正確剖析 HTTP 回應時，表示存在詐騙弱點。成功利用這些弱點的攻擊者可能會透過將使用者重新導向至蓄意製作的網站而誘騙使用者。蓄意製作的網站可能會偽造內容或做為樞紐，以鏈結攻擊與 Web 服務中的其他弱點。 為了利用這些弱點，使用者必須按一下蓄意製作的 URL。在電子郵件攻擊案例中，攻擊者可能會將包含蓄意製作之 URL 的電子郵件訊息傳送給使用者，以試圖說服使用者進行點選。 在網頁型攻擊案例中，攻擊者可能會架設蓄意製作的網站，且此網站的設計會讓使用者以為這是合法網站。但是，攻擊者並不能強迫使用者造訪蓄意製作的網站，攻擊者必須引誘使用者造訪蓄意製作的網站，一般是藉助電子郵件的附件或 Instant Messenger 訊息，然後引誘使用者與網站上的內容互動。 更新會更正 Microsoft 瀏覽器剖析 HTTP 回應的方式，藉此解決弱點。 下表包含一般弱點及安全風險清單中，各個弱點的標準項目連結：

弱點標題	CVE 編號	已公開揭露	是否遭到利用
Microsoft 瀏覽器詐騙弱點	CVE-2017-0012	是	不是
Microsoft 瀏覽器詐騙弱點	CVE-2017-0033	是	不是

### 緩和因素 Microsoft 尚未找到這些弱點的任何[緩和因素](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 因應措施 Microsoft 尚未在這些弱點識別出任何[因應措施](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 多個指令碼引擎記憶體損毀弱點 ---------------------------- JScript 和 VBScript 引擎在處理 Internet Explorer 記憶體中的物件時於 Internet Explorer 呈現的方式中，存在遠端執行程式碼的多個弱點。這些弱點可能會損毀記憶體，使攻擊者有機會以目前使用者的權限層級執行任意程式碼。成功利用這些弱點的攻擊者可能會取得與目前使用者相同的使用者權限。如果目前使用者是以系統管理使用者權限登入，成功利用這些弱點的攻擊者可能會取得受影響系統的控制權。攻擊者接下來將能安裝程式，檢視、變更或刪除資料，或建立具有完整使用者權限的新帳戶。 在網頁型攻擊的案例中，攻擊者可以針對這些經由 Internet Explorer 引起的弱點來設計並架設蓄意製作的網站，然後引誘使用者檢視該網站。攻擊者也可在主控 IE 轉譯引擎的應用程式或 Microsoft Office 文件中內嵌 ActiveX 控制項，並標示為「對初始化是安全的」。攻擊者也可能利用受侵害的網站，以及接受或裝載使用者提供內容或廣告的網站。這些網站可能含有蓄意製作以利用此類資訊安全風險的內容。 這項更新會修改 JScript 和 VBScript 指令碼引擎處理記憶體中物件的方式，藉此解決這些弱點。 下表包含一般弱點及安全風險清單中，此弱點的標準項目連結：

弱點標題	CVE 編號	已公開揭露	是否遭到利用
指令碼引擎記憶體損毀弱點	CVE-2017-0040	否	否
指令碼引擎記憶體損毀弱點	CVE-2017-0130	否	否

### 緩和因素 Microsoft 尚未找到這些弱點的任何[緩和因素](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 因應措施 Microsoft 尚未在這些弱點識別出任何[因應措施](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 指令碼引擎資訊洩漏弱點 - CVE-2017-0049 -------------------------------------- 當 Jscript 指令碼引擎無法正確處理記憶體中的物件時，表示存在資訊洩漏弱點。這項弱點可能會允許攻擊者偵測使用者電腦上的特定檔案。在網頁型攻擊案例中，攻擊者可能會架設網站來嘗試利用此弱點。 此外，受侵害的網站以及接受或存放使用者產生之內容的網站裡，也可能包含蓄意製作以利用本弱點的內容。但是，攻擊者無法強迫使用者檢視受攻擊者控制的內容，而是必須引誘使用者採取行動。例如，攻擊者可以引誘使用者按一下通往攻擊者網站的連結。 成功利用這個弱點的攻擊者可以讀取不應遭到洩漏的資料。請注意，此弱點不會直接允許攻擊者執行程式碼或提升使用者的權限，但能用來取得資訊，因而進一步嘗試破壞受影響的系統。 此安全性更新會協助限制傳回至受影響的 Microsoft 瀏覽器的資訊，藉此解決此弱點。 下表包含一般弱點及安全風險清單中，此弱點的標準項目連結：

弱點標題	CVE 編號	已公開揭露	是否遭到利用
指令碼引擎資訊洩漏弱點	CVE-2017-0049	否	否

### 緩和因素 Microsoft 尚未找到此項弱點的任何[緩和因素](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 因應措施 Microsoft 尚未找到此項弱點的任何[因應措施](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 Internet Explorer 權限提高弱點 - CVE-2017-0154 ---------------------------------------------- 當 Internet Explorer 未適當地強制執行跨網域原則時會存在權限提高弱點，可讓攻擊者從某個網域存取資訊並將其置於其他網域中。此更新可協助確保在 Internet Explorer 中適當地強制執行跨網域原則，進而解決這項弱點。 在網頁型攻擊案例中，攻擊者可能會架設網站來嘗試利用此弱點。此外，受侵害的網站以及接受或存放使用者提供之內容的網站裡，也可能包含蓄意製作以利用本弱點的內容。不過，在任何案例中，攻擊者無法強迫使用者檢視攻擊者控制的內容。而是必須引誘使用者採取行動。例如，攻擊者可以引誘使用者按一下通往攻擊者網站的連結。成功利用此弱點的攻擊者可能會在受影響版本的 Internet Explorer 中提高權限。 此弱點本身不會允許執行任意程式碼。但是，此弱點可能用來搭配另一個資弱點 (例如，遠端執行程式碼的弱點)，而後者可能會利用提高的權限執行任意程式碼。例如，攻擊者可利用另一個弱點透過 Internet Explorer 執行任意程式碼，但由於程序在該內容中是由 Internet Explorer 啟動，因此會限制以較低的完整性層級 (即為有限的權限) 執行程式碼。但是，攻擊者隨後可利用此弱點而以中等完整性層級 (目前使用者的權限) 執行任意程式碼。 下表包含一般弱點及安全風險清單中，各個弱點的標準項目連結：下表包含一般弱點及安全風險清單中，各個弱點的標準項目連結：

弱點標題	CVE 編號	已公開揭露	是否遭到利用
Internet Explorer 權限提高弱點	CVE-2017-0154	是	不是

### 緩和因素 Microsoft 尚未找到此項弱點的任何[緩和因素](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 因應措施 Microsoft 尚未找到此項弱點的任何[因應措施](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 安全性更新部署 -------------- 如需安全性更新部署資訊，請在[這裡](#kbarticle)參閱＜提要＞中的 Microsoft 知識庫文章。 致謝 ---- Microsoft 了解資訊安全業界所做的努力，其盡責地揭露弱點來協助我們保護客戶。請參閱[致謝](https://technet.microsoft.com/zh-tw/library/security/mt745121.aspx)以取得詳細資訊。 免責聲明 -------- Microsoft 知識庫中的資訊係以其「現狀」提供，並不提供任何形式之擔保。Microsoft 不做任何明示或默示的責任擔保，包括適售性以及適合某特定用途之擔保責任。無論任何情況下的損害，Microsoft Corporation 及其供應商皆不負任何法律責任，包括直接、間接、偶發、衍生性、所失業務利益或特殊損害。即使 Microsoft Corporation 及其供應商已被告知此類損害的可能性亦不負任何責任。某些地區不允許排除及限制衍生性或附隨損害賠償責任，因此前述限制不適用於這些地區。 修訂 ---- - V1.0 2017 年 3 月 14 日：公告發行。 *頁面產生時間：2017-03-08 14:03-08:00。*