Microsoft 資訊安全公告 MS14-065 - 重大

  • 發行項

Internet Explorer 積存安全性更新 (3003057)

發行日期：2014 年 11 月 11 日 | 已更新：2014 年 12 月 9 日

版本： 2.0

提要

本資訊安全更新可解決 Internet Explorer 中十七項未公開報告的資訊安全風險。其中最嚴重的資訊安全風險，可能在使用者以 Internet Explorer 檢視蓄意製作的網頁時允許遠端執行程式碼。成功利用這些資訊安全風險的攻擊者可以取得與目前使用者相同的使用者權限。系統上帳戶使用者權限較低的客戶，其受影響的程度比擁有系統管理權限的客戶要小。

對於受影響的 Windows 用戶端上的 Internet Explorer 6 (IE 6)、Internet Explorer 7 (IE 7)、Internet Explorer 8 (IE 8)、Internet Explorer 9 (IE 9)、Internet Explorer 10 (IE 10) 和 Internet Explorer 11 (IE 11)，此資訊安全更新的等級為「重大」；對於受影響的 Windows 伺服器上的 Internet Explorer 6 (IE 6)、Internet Explorer 7 (IE 7)、Internet Explorer 8 (IE 8)、Internet Explorer 9 (IE 9)、Internet Explorer 10 (IE 10) 和 Internet Explorer 11 (IE 11)，等級為「中度」。如需更多資訊，請參閱＜受影響的軟體＞一節。

此資訊安全更新會修改 Internet Explorer 處理記憶體中物件的方式、新增其他權限驗證至 Internet Explorer，以及協助確保受影響版本的 Internet Explorer 適當實作 ASLR 資訊安全功能，以解決這些資訊安全風險。如需更多有關此資訊安全風險的資訊，請參閱特定資訊安全風險的＜常見問題集 (FAQ)＞小節。

如需有關此更新的詳細資訊，請參閱 Microsoft 知識庫文件編號 3003057。

 

受影響的軟體

下列軟體版號或版本會受到影響。未列出的版號或版本不是超出支援週期就是不受影響。若要瞭解您的軟體版本的支援週期，請參閱 Microsoft 產品技術支援週期網站。

受影響的軟體

**作業系統** **元件** **最大安全性影響** **彙總嚴重性等級** **已取代更新**
**Internet Explorer 6**
Windows Server 2003 Service Pack 2 [Internet Explorer 6](https://www.microsoft.com/zh-tw/download/details.aspx?id=44664) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows Server 2003 x64 Edition Service Pack 2 [Internet Explorer 6](https://www.microsoft.com/zh-tw/download/details.aspx?id=44691) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows Server 2003 SP2 for Itanium-based Systems [Internet Explorer 6](https://www.microsoft.com/en-us/download/details.aspx?id=44658) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
**Internet Explorer 7**
Windows Server 2003 Service Pack 2 [Internet Explorer 7](https://www.microsoft.com/zh-tw/download/details.aspx?id=44656) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows Server 2003 x64 Edition Service Pack 2 [Internet Explorer 7](https://www.microsoft.com/zh-tw/download/details.aspx?id=44677) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows Server 2003 SP2 for Itanium-based Systems [Internet Explorer 7](https://www.microsoft.com/en-us/download/details.aspx?id=44665) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows Vista Service Pack 2 [Internet Explorer 7](https://www.microsoft.com/zh-tw/download/details.aspx?id=44678) (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows Vista x64 Edition Service Pack 2 [Internet Explorer 7](https://www.microsoft.com/zh-tw/download/details.aspx?id=44694) (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 32 位元系統的 Windows Server 2008 Service Pack 2 [Internet Explorer 7](https://www.microsoft.com/zh-tw/download/details.aspx?id=44695) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 x64 型系統的 Windows Server 2008 Service Pack 2 [Internet Explorer 7](https://www.microsoft.com/zh-tw/download/details.aspx?id=44703) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 Itanium 型系統的 Windows Server 2008 Service Pack 2 [Internet Explorer 7](https://www.microsoft.com/en-us/download/details.aspx?id=44680) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
**Internet Explorer 8**
Windows Server 2003 Service Pack 2 [Internet Explorer 8](https://www.microsoft.com/zh-tw/download/details.aspx?id=44674) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows Server 2003 x64 Edition Service Pack 2 [Internet Explorer 8](https://www.microsoft.com/zh-tw/download/details.aspx?id=44675) (3003057) 遠端執行程式碼 中度 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows Vista Service Pack 2 [Internet Explorer 8](https://www.microsoft.com/zh-tw/download/details.aspx?id=44699) (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows Vista x64 Edition Service Pack 2 [Internet Explorer 8](https://www.microsoft.com/zh-tw/download/details.aspx?id=44668) (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 32 位元系統的 Windows Server 2008 Service Pack 2 [Internet Explorer 8](https://www.microsoft.com/zh-tw/download/details.aspx?id=44698) (3003057) 遠端執行程式碼 中度 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 x64 型系統的 Windows Server 2008 Service Pack 2 [Internet Explorer 8](https://www.microsoft.com/zh-tw/download/details.aspx?id=44688) (3003057) 遠端執行程式碼 中度 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 32 位元系統的 Windows 7 Service Pack 1 [Internet Explorer 8](https://www.microsoft.com/zh-tw/download/details.aspx?id=44697) (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 x64 型系統的 Windows 7 Service Pack 1 [Internet Explorer 8](https://www.microsoft.com/zh-tw/download/details.aspx?id=44702) (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 [Internet Explorer 8](https://www.microsoft.com/zh-tw/download/details.aspx?id=44673) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 Itanium 型系統的 Windows Server 2008 R2 Service Pack 1 [Internet Explorer 8](https://www.microsoft.com/en-us/download/details.aspx?id=44685) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
**Internet Explorer 9**
Windows Vista Service Pack 2 [Internet Explorer 9](https://www.microsoft.com/zh-tw/download/details.aspx?id=44683) (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows Vista x64 Edition Service Pack 2 [Internet Explorer 9](https://www.microsoft.com/zh-tw/download/details.aspx?id=44700) (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 32 位元系統的 Windows Server 2008 Service Pack 2 [Internet Explorer 9](https://www.microsoft.com/zh-tw/download/details.aspx?id=44701) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 x64 型系統的 Windows Server 2008 Service Pack 2 [Internet Explorer 9](https://www.microsoft.com/zh-tw/download/details.aspx?id=44604) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 32 位元系統的 Windows 7 Service Pack 1 [Internet Explorer 9](https://www.microsoft.com/zh-tw/download/details.aspx?id=44671) (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 x64 型系統的 Windows 7 Service Pack 1 [Internet Explorer 9](https://www.microsoft.com/zh-tw/download/details.aspx?id=44670) (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 [Internet Explorer 9](https://www.microsoft.com/zh-tw/download/details.aspx?id=44690) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
**Internet Explorer 10**
適用於 32 位元系統的 Windows 7 Service Pack 1 [Internet Explorer 10](https://www.microsoft.com/download/details.aspx?familyid=3e546581-7681-4b0d-905d-bf71df61b166) (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 x64 型系統的 Windows 7 Service Pack 1 [Internet Explorer 10](https://www.microsoft.com/download/details.aspx?familyid=e6867f26-c226-41be-b93b-cef867b15a9d) (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 [Internet Explorer 10](https://www.microsoft.com/download/details.aspx?familyid=06e1269f-3b92-444c-a083-64f9075c6278) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows 8 32 位元系統 [Internet Explorer 10](https://www.microsoft.com/zh-tw/download/details.aspx?id=44632) (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 x64 型系統的 Windows 8 [Internet Explorer 10](https://www.microsoft.com/zh-tw/download/details.aspx?id=44704) (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows Server 2012 [Internet Explorer 10](https://www.microsoft.com/zh-tw/download/details.aspx?id=44661) (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows RT Internet Explorer 10[1] (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
**Internet Explorer 11**
適用於 32 位元系統的 Windows 7 Service Pack 1 [Internet Explorer 11](https://www.microsoft.com/zh-tw/download/details.aspx?id=44621)  (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 x64 型系統的 Windows 7 Service Pack 1 [Internet Explorer 11](https://www.microsoft.com/zh-tw/download/details.aspx?id=44682)  (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 x64 型系統的 Windows Server 2008 R2 Service Pack 1 [Internet Explorer 11](https://www.microsoft.com/zh-tw/download/details.aspx?id=44687)  (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows 8.1 32 位元系統 [Internet Explorer 11](https://www.microsoft.com/zh-tw/download/details.aspx?id=44609)  (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
適用於 x64 型系統的 Windows 8.1 [Internet Explorer 11](https://www.microsoft.com/zh-tw/download/details.aspx?id=44666)  (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows Server 2012 R2 [Internet Explorer 11](https://www.microsoft.com/zh-tw/download/details.aspx?id=44679)  (3003057) 遠端執行程式碼 普通 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
Windows RT 8.1 Internet Explorer 11[1] (3003057) 遠端執行程式碼 重大 [MS14-056](https://technet.microsoft.com/zh-tw/library/security/ms14-056) 中的 2987107
[1]此更新透過 [Windows Update](https://update.microsoft.com/microsoftupdate/v6/vistadefault.aspx?ln=zh-tw) 提供。版本。

注意 Windows Technical Preview 和 Windows Server Technical Preview 會受影響。建議執行這些作業系統的客戶套用更新，您可以透過 Windows Update 取得更新。

嚴重性等級和弱點識別碼

下列嚴重性等級是假設弱點可能造成的最嚴重影響而評定。在本安全性公告發行的 30 天內，如需弱點易遭利用性與嚴重性等級和安全性影響之間對應關係的資訊，請參閱 11 月份公告摘要中的＜弱點索引＞。

下表中指定的「重大」、「重要」與「中度」值代表嚴重性等級。如需更多資訊，請參閱資訊安全公告嚴重性等級系統。下列機碼中顯示的縮寫表示最嚴重的影響：

縮寫 最嚴重影響
RCE 遠端執行程式碼
EoP 權限提高
ID 資訊洩漏
SFB 資訊安全功能略過
  **嚴重性等級和影響**

CVE 編號 弱點標題 Internet Explorer 6 Internet Explorer 7 Internet Explorer 8 Internet Explorer 9 Internet Explorer 10 Internet Explorer 11
CVE-2014-4143 Internet Explorer 記憶體損毀資訊安全風險 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE
CVE-2014-6323 Internet Explorer 剪貼簿資訊洩漏資訊安全風險 不適用 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼		 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼		 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼		 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼		 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼
CVE-2014-6337 Internet Explorer 記憶體損毀資訊安全風險 不適用 不適用 不適用 不適用 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE
CVE-2014-6339 Internet Explorer ASLR 略過資訊安全風險 不適用 不適用 Windows 用戶端：
重要/SFB

Windows 伺服器：
低/SFB		 Windows 用戶端：
重要/SFB

Windows 伺服器：
低/SFB		 不適用 不適用
CVE-2014-6340 Internet Explorer 跨網域資訊洩漏資訊安全風險 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼		 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼		 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼		 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼		 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼		 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼
CVE-2014-6341 Internet Explorer 記憶體損毀資訊安全風險 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE
CVE-2014-6342 Internet Explorer 記憶體損毀資訊安全風險 不適用 不適用 不適用 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 不適用 不適用
CVE-2014-6343 Internet Explorer 記憶體損毀資訊安全風險 不適用 不適用 不適用 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE
CVE-2014-6344 Internet Explorer 記憶體損毀資訊安全風險 不適用 不適用 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 不適用 不適用
CVE-2014-6345 Internet Explorer 跨網域資訊洩漏資訊安全風險 不適用 不適用 不適用 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼		 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼		 不適用
CVE 編號 弱點標題 Internet Explorer 6 Internet Explorer 7 Internet Explorer 8 Internet Explorer 9 Internet Explorer 10 Internet Explorer 11
CVE-2014-6346 Internet Explorer 跨網域資訊洩漏資訊安全風險 不適用 不適用 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼		 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼		 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼		 Windows 用戶端：
重要/識別碼

Windows 伺服器：
低/識別碼
CVE-2014-6347 Internet Explorer 記憶體損毀資訊安全風險 不適用 不適用 不適用 不適用 不適用 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE
CVE-2014-6348 Internet Explorer 記憶體損毀資訊安全風險 不適用 不適用 不適用 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 不適用 不適用
CVE-2014-6349 Internet Explorer 權限提高資訊安全風險 不適用 不適用 不適用 不適用 Windows 用戶端：
重要/EOP

Windows 伺服器：
低/EOP		 Windows 用戶端：
重要/EOP

Windows 伺服器：
低/EOP
CVE-2014-6350 Internet Explorer 權限提高資訊安全風險 不適用 不適用 不適用 不適用 Windows 用戶端：
重要/EOP

Windows 伺服器：
低/EOP		 Windows 用戶端：
重要/EOP

Windows 伺服器：
低/EOP
CVE-2014-6351 Internet Explorer 記憶體損毀資訊安全風險 不適用 不適用 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE
CVE-2014-6353 Internet Explorer 記憶體損毀資訊安全風險 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 Windows 用戶端：
重大/RCE

Windows 伺服器：
中度/RCE		 不適用
  Internet Explorer 中的多項記憶體損毀資訊安全風險 ------------------------------------------------ 當 Internet Explorer 不正確地存取記憶體中的物件時，即存在遠端執行程式碼資訊安全風險。這些資訊安全風險可能會損毀記憶體，使攻擊者有機會以目前使用者的權限層級執行任意程式碼。此更新會修改 Internet Explorer 處理記憶體中物件的方式，藉此解決這些資訊安全風險。 下表包含「一般性資訊安全風險」清單中每個資訊安全風險的標準項目連結：

資訊安全風險標題 CVE 編號 已公開揭露 是否遭到利用
Internet Explorer 記憶體損毀資訊安全風險 CVE-2014-4143 否 否
Internet Explorer 記憶體損毀資訊安全風險 CVE-2014-6337 否 否
Internet Explorer 記憶體損毀資訊安全風險 CVE-2014-6341 否 否
Internet Explorer 記憶體損毀資訊安全風險 CVE-2014-6342 否 否
Internet Explorer 記憶體損毀資訊安全風險 CVE-2014-6343 否 否
Internet Explorer 記憶體損毀資訊安全風險 CVE-2014-6344 否 否
Internet Explorer 記憶體損毀資訊安全風險 CVE-2014-6347 否 否
Internet Explorer 記憶體損毀資訊安全風險 CVE-2014-6348 否 否
Internet Explorer 記憶體損毀資訊安全風險 CVE-2014-6351 否 否
Internet Explorer 記憶體損毀資訊安全風險 CVE-2014-6353 否 否
  ### 緩和因素 Microsoft 尚未找到此項資訊安全風險的任何[緩和因素](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 因應措施 Microsoft 尚未找到這些資訊安全風險的任何[因應措施](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 常見問題集 **攻擊者可能會利用這些資訊安全風險採取什麼行動？** 成功利用這些資訊安全風險的攻擊者可以取得與目前使用者相同的使用者權限。如果目前使用者以系統管理的使用者權限登入，則成功利用這些資訊安全風險的攻擊者可以取得受影響系統的完整控制權。攻擊者接下來將能安裝程式，檢視、變更或刪除資料，或建立具有完整使用者權限的新帳戶。 **攻擊者如何利用這些資訊安全風險？** 在網頁型攻擊的案例中，攻擊者可以針對這些經由 Internet Explorer 引起的資訊安全風險來設計並架設蓄意製作的網站，然後引誘使用者檢視該網站。攻擊者也可能利用受侵害的網站，以及接受或裝載使用者提供內容或廣告的網站。這些網站可能含有蓄意製作以利用此類資訊安全風險的內容。但是，攻擊者無法強迫使用者檢視受攻擊者控制的內容，而是引誘使用者自行前往。一般的做法是設法讓使用者點選電子郵件訊息或 Instant Messenger 中通往攻擊者網站的連結，或設法讓他們開啟經由電子郵件傳送的附件。 **因為這些資訊安全風險而承受風險的主要系統有哪些？** 常使用 Internet Explorer 的系統 (例如工作站或終端伺服器) 所承受的風險最大。 **我使用的是 Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 或 Windows Server 2012 R2 的 Internet Explorer。這樣是否會減輕這些資訊安全風險的影響？** 有。依照預設，Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 及 Windows Server 2012 R2 上的 Internet Explorer 會以稱為[增強式資訊安全設定](https://technet.microsoft.com/zh-tw/library/dd883248)的受限制模式執行。增強式資訊安全設定是一組預先設定好的 Internet Explorer 設定，可以降低使用者或系統管理員在伺服器下載及執行蓄意製作之網頁內容的可能性。對於您尚未新增至 Internet Explorer \[信任的網站\] 區域的網站，這是一種緩和因素。 **EMET 是否有助於緩和企圖利用這些資訊安全風險的攻擊？** 有。Enhanced Mitigation Experience Toolkit (EMET) 可讓使用者管理資訊安全緩和技術，此技術讓攻擊者更難利用特定軟體中的資訊安全風險。在有安裝 EMET，並將其設定為能用於 Internet Explorer 的系統上，EMET 有助於緩和 Internet Explorer 中的資訊安全風險。 如需更多關於 EMET 的資訊，請參閱 [The Enhanced Mitigation Experience Toolkit](https://technet.microsoft.com/zh-tw/security/jj653751)。 Internet Explorer 中多個權限提高資訊安全風險 -------------------------------------------- 提高權限資訊安全風險導因於 Internet Explorer 於特定情況下無法正確驗證權限，而這可能會允許以提高的權限執行指令碼。此更新會新增其他權限驗證至 Internet Explorer，以解決這些資訊安全風險。 下表包含「一般性資訊安全風險」清單中每個資訊安全風險的標準項目連結：

資訊安全風險標題 CVE 編號 已公開揭露 是否遭到利用
Internet Explorer 權限提高資訊安全風險 CVE-2014-6349 否 否
Internet Explorer 權限提高資訊安全風險 CVE-2014-6350 否 否
  ### 緩和因素 下列[緩和因素](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)可能對您的狀況有所助益： - 這些資訊安全風險本身不會允許執行任意程式碼。這些資訊安全風險必須搭配其他允許遠端執行程式碼的資訊安全風險使用。例如，攻擊者可利用另一個資訊安全風險透過 Internet Explorer 執行任意程式碼，但由於程序在該內容中是由 Internet Explorer 啟動，因此會限制以較低的完整性層級 (即為有限的權限) 執行程式碼。但是，攻擊者隨後可利用這些資訊安全風險而以中等完整性層級 (目前使用者的權限) 執行任意程式碼。 ### 因應措施 Microsoft 尚未找到這些資訊安全風險的任何[因應措施](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 常見問題集 **攻擊者可能會利用這些資訊安全風險採取什麼行動？** 成功利用這些資訊安全風險的攻擊者可以在受影響版本的 Internet Explorer 中提高權限。 這些資訊安全風險本身不會允許執行任意程式碼。但是，這些資訊安全風險可能用來搭配另一個資訊安全風險 (例如，遠端執行程式碼的資訊安全風險)，而後者可能會利用提高的權限執行任意程式碼。 例如，攻擊者可利用另一個資訊安全風險透過 Internet Explorer 執行任意程式碼，但由於程序在該內容中是由 Internet Explorer 啟動，因此會限制以較低的完整性層級 (即為有限的權限) 執行程式碼。但是，攻擊者隨後可利用這些資訊安全風險而以中等完整性層級 (目前使用者的權限) 執行任意程式碼。 **攻擊者可用什麼方式利用這些資訊安全風險？** 在網頁式攻擊案例中，攻擊者可能會架設網站來嘗試利用這些資訊安全風險。此外，受侵害的網站以及接受或存放使用者提供之內容的網站裡，也可能包含蓄意製作以利用這些資訊安全風險的內容。但是，攻擊者無法強迫使用者檢視受攻擊者控制的內容，而是必須引誘使用者採取行動。例如，攻擊者可以引誘使用者按一下通往攻擊者網站的連結。 **因為這個資訊安全風險而承受風險的主要系統有哪些？** 常使用 Internet Explorer 的系統 (例如工作站或終端伺服器) 所承受的風險最大。 多重 Internet Explorer 跨網域資訊洩漏資訊安全風險 ------------------------------------------------- 當 Internet Explorer 未適當地強制執行跨網域原則時會存在一些資訊洩漏資訊安全風險，而可能會允許攻擊者取得其他網域或 Internet Explorer 區域中資訊的存取權。此更新可協助確保在 Internet Explorer 中適當地強制執行跨網域原則，進而解決這些資訊安全風險。 下表包含「一般性資訊安全風險」清單中每個資訊安全風險的標準項目連結：

資訊安全風險標題 CVE 編號 已公開揭露 是否遭到利用
Internet Explorer 跨網域資訊洩漏資訊安全風險 CVE-2014-6340 否 否
Internet Explorer 跨網域資訊洩漏資訊安全風險 CVE-2014-6345 否 否
Internet Explorer 跨網域資訊洩漏資訊安全風險 CVE-2014-6346 否 否
### 緩和因素 Microsoft 尚未找到此項資訊安全風險的任何[緩和因素](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 因應措施 Microsoft 尚未找到這些資訊安全風險的任何[因應措施](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 常見問題集 **攻擊者可能會利用這些資訊安全風險採取什麼行動？** 成功利用這些資訊安全風險的攻擊者，能夠檢視來自其他網域或 Internet Explorer 區域的內容。 **攻擊者可用什麼方式利用這些資訊安全風險？** 在網頁式攻擊案例中，攻擊者可能會架設用來嘗試利用這些資訊安全風險的網站。此外，受侵害的網站以及接受或存放使用者提供之內容的網站裡，也可能包含蓄意製作以利用這些資訊安全風險的內容。但是，攻擊者無法強迫使用者檢視受攻擊者控制的內容，而是引誘使用者自行前往。例如，攻擊者可以引誘使用者按一下通往攻擊者網站的連結。 **因為這個資訊安全風險而承受風險的主要系統有哪些？** 常使用 Internet Explorer 的系統 (例如工作站或終端伺服器) 所承受的風險最大。 **我使用的是 Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 或 Windows Server 2012 R2 的 Internet Explorer。這樣是否會減輕此弱點的影響？** 有。依照預設，Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 及 Windows Server 2012 R2 上的 Internet Explorer 會以稱為[增強式資訊安全設定](https://technet.microsoft.com/zh-tw/library/dd883248)的受限制模式執行。增強式資訊安全設定是一組預先設定好的 Internet Explorer 設定，可以降低使用者或系統管理員在伺服器下載及執行蓄意製作之網頁內容的可能性。對於您尚未新增至 Internet Explorer \[信任的網站\] 區域的網站，這是一種緩和因素。 Internet Explorer 剪貼簿資訊洩漏資訊安全風險 - CVE-2014-6323 ------------------------------------------------------------ 當 Internet Explorer 未針對造訪網站的使用者剪貼簿作出適當存取限制時，即存在資訊洩露資訊安全風險。此資訊安全風險可允許惡意網站存取 Windows 剪貼簿上儲存的資料。如果使用者造訪惡意網站，則攻擊者可從該使用者的剪貼簿收集資訊。此更新可協助防止惡意網站存取使用者剪貼簿所儲存的資訊，從而解決此資訊安全風險。 下表包含「一般性資訊安全風險」清單中每個資訊安全風險的標準項目連結：

資訊安全風險標題 CVE 編號 已公開揭露 是否遭到利用
Internet Explorer 剪貼簿資訊洩漏資訊安全風險 CVE-2014-6323 否 否
### 緩和因素 Microsoft 尚未找到此項資訊安全風險的任何[緩和因素](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 因應措施 Microsoft 尚未找到此項弱點的任何[因應措施](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 常見問題集 **攻擊者可能會利用這些資訊安全風險採取什麼行動？** 成功利用此資訊安全風險的攻擊者，可從造訪該攻擊者網站的使用者剪貼簿中收集資訊。 **攻擊者可用什麼方式利用這些資訊安全風險？** 在網頁型攻擊案例中，攻擊者可能會架設網站來嘗試利用此資訊安全風險。此外，受侵害的網站以及接受或存放使用者提供之內容的網站裡，也可能包含蓄意製作以利用本資訊安全風險的內容。但是，攻擊者無法強迫使用者檢視受攻擊者控制的內容，而是必須引誘使用者採取行動。例如，攻擊者可以引誘使用者按一下通往攻擊者網站的連結。 **因為這個資訊安全風險而承受風險的主要系統有哪些？** 常使用 Internet Explorer 的系統 (例如工作站或終端伺服器) 所承受的風險最大。 **我使用的是 Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 或 Windows Server 2012 R2 的 Internet Explorer。這樣是否會減輕此弱點的影響？** 有。依照預設，Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 及 Windows Server 2012 R2 上的 Internet Explorer 會以稱為[增強式資訊安全設定](https://technet.microsoft.com/zh-tw/library/dd883248)的受限制模式執行。增強式資訊安全設定是一組預先設定好的 Internet Explorer 設定，可以降低使用者或系統管理員在伺服器下載及執行蓄意製作之網頁內容的可能性。對於您尚未新增至 Internet Explorer \[信任的網站\] 區域的網站，這是一種緩和因素。 Internet Explorer ASLR 略過資訊安全風險 – CVE-2014-6339 ------------------------------------------------------- 當 Internet Explorer 未使用[位址空間配置隨機載入 (ASLR)](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx) 資訊安全功能時，即存在資訊安全功能略過資訊安全風險，攻擊者此時能更可靠地預測特定呼叫堆疊中特定指示的記憶體位移。此更新可協助確保受影響版本的 Internet Explorer 適當實作 ASLR 資訊安全功能，進而解決此資訊安全風險。 下表包含「一般性資訊安全風險」清單中每個資訊安全風險的標準項目連結：

資訊安全風險標題 CVE 編號 已公開揭露 是否遭到利用
Internet Explorer ASLR 略過資訊安全風險 CVE-2014-6339 否 否
### 緩和因素 Microsoft 尚未找到此項資訊安全風險的任何[緩和因素](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 因應措施 Microsoft 尚未找到此項弱點的任何[因應措施](https://technet.microsoft.com/zh-tw/library/security/dn848375.aspx)。 ### 常見問題集 **攻擊者可能會利用這項弱點採取什麼行動？** 成功利用此資訊安全風險的攻擊者可以略過 ASLR 資訊安全功能，而此功能可保護使用者免於廣泛類別的資訊安全風險侵擾。略過安全性功能本身不會允許執行任意程式碼。但是，攻擊者可以搭配使用此 ASLR 略過資訊安全風險和其他資訊安全風險，例如搭配可利用 ASLR 略過的遠端執行程式碼資訊安全風險，即可執行任意程式碼。 **攻擊者如何利用這項弱點？** 攻擊者可將這項略過安全性功能資訊安全風險與其他資訊安全風險聯結，通常是與遠端執行程式碼資訊安全風險搭配使用。其他的資訊安全風險可利用略過安全性功能來進行攻擊。例如，成功略過 ASLR 之後，就可以利用原本會遭 ASLR 封鎖的遠端執行程式碼資訊安全風險。 **因為這個弱點而承受風險的主要系統有哪些？** 在網頁瀏覽案例中，使用者必須登入並執行受影響版本的 Internet Explorer，攻擊者才能成功利用此資訊安全風險。因此常使用網頁瀏覽器的系統 (例如工作站或終端伺服器) 的風險最大。如果系統管理員允許使用者在伺服器上瀏覽和閱讀電子郵件，則伺服器可能會遭受更大的風險。然而，最佳實務強烈建議您制止這種行為。 資訊安全更新部署 ---------------- 如需資訊安全更新部署資訊，請在[這裡](#kbarticle)參閱＜提要＞中的 Microsoft 知識庫文章。 感謝 ---- Microsoft 了解資訊安全業界所做的努力，其盡責地透露資訊安全風險來協助我們保護客戶。請參閱[認可](https://technet.microsoft.com/zh-tw/library/security/dn820091.aspx) (英文) 以取得詳細資訊。 免責聲明 -------- Microsoft 知識庫 (Microsoft Knowledge Base) 中的資訊係以其「現狀」提供，並不提供任何形式之擔保。Microsoft 不做任何明示或默示的責任擔保，包括適售性以及適合某特定用途之擔保責任。無論任何情況下的損害，Microsoft Corporation 及其供應商皆不負任何法律責任，包括直接、間接、偶發、衍生性、所失業務利益或特殊損害。即使 Microsoft Corporation 及其供應商已被告知此類損害的可能性亦不負任何責任。某些地區不允許排除及限制衍生性或附隨損害賠償責任，因此前述限制不適用於這些地區。 日期 ---- - V1.0 (2014 年 11 月 11 日)：公告發行。 - V2.0 (2014 年 12 月 9 日)：為了解決資訊安全更新 3003057 的問題，Microsoft 重新發行 MS14-065 完整解決 CVE-2014-6353。在 Windows 7 或 Windows Server 2008 R2 上執行 Internet Explorer 8 的客戶或執行 Internet Explorer 10 的客戶，應該安裝新提供的更新，或安裝 12 月份 Internet Explorer 積存更新 (3008923)。如需詳細資訊，請參閱 [Microsoft 知識庫文章 3003057](https://support.microsoft.com/kb/3003057/zh-tw)。 *頁面產生時間：2014-12-03 17:49Z-08:00。*