MSRC ppDocument 模板

Microsoft 安全公告 MS16-030 - 重要

用于修复远程执行代码漏洞的 Windows OLE 安全更新程序 (3143136)

发布日期: 2016 年 3 月 8 日

版本: 1.0

执行摘要

此安全更新程序修复了 Microsoft Windows 中的多个漏洞。 当 Windows OLE 无法正确验证用户输入时,这些漏洞可能允许远程执行代码。 攻击者可以利用这些漏洞以执行恶意代码。 但是,攻击者必须首先诱使用户在网页或电子邮件中打开经特殊设计的文件或程序。

对于所有受支持的 Windows 版本,此安全更新程序的等级为“重要”。 有关详细信息,请参阅受影响的软件部分。

此安全更新程序通过更正 Windows OLE 验证用户输入的方式来修复此漏洞。 有关此漏洞的详细信息,请参阅漏洞信息部分。

有关此更新程序的详细信息,请参阅 Microsoft 知识库文章 3143136

受影响的软件和漏洞严重等级

以下软件版本都受到影响。 未列出的版本要么是支持生命周期已结束,要么是不受影响。 若要确定软件版本的支持生命周期,请参阅 Microsoft 支持生命周期

针对每个受影响的软件标记的严重等级假设漏洞可能造成最大影响。 若要了解在此安全公告发布 30 天内漏洞被利用的可能性(相对于安全等级和安全影响),请参阅 3 月份公告摘要中的利用指数。

操作系统

Windows OLE 内存远程执行代码漏洞 - CVE-2016-0091

Windows OLE 内存远程执行代码漏洞 - CVE-2016-0092

替代的更新\*

Windows Vista

Windows Vista Service Pack 2
(3139940)

重要
远程执行代码

重要
远程执行代码

MS14-064 中的 3006226

Windows Vista x64 Edition Service Pack 2
(3139940)

重要
远程执行代码

重要
远程执行代码

MS14-064 中的 3006226

Windows Server 2008

Windows Server 2008(用于 32 位系统)Service Pack 2
(3139940)

重要
远程执行代码

重要
远程执行代码

MS14-064 中的 3006226

Windows Server 2008(用于基于 x64 的系统)Service Pack 2
(3139940)

重要
远程执行代码

重要
远程执行代码

MS14-064 中的 3006226

Windows Server 2008(用于基于 Itanium 的系统)Service Pack 2
(3139940)

重要
远程执行代码

重要
远程执行代码

MS14-064 中的 3006226

Windows 7

Windows 7(用于 32 位系统)Service Pack 1
(3139940)

重要
远程执行代码

重要
远程执行代码

MS14-064 中的 3006226

Windows 7(用于基于 x64 的系统)Service Pack 1
(3139940)

重要
远程执行代码

重要
远程执行代码

MS14-064 中的 3006226

Windows Server 2008 R2

Windows Server 2008 R2(用于基于 x64 的系统)Service Pack 1
(3139940)

重要
远程执行代码

重要
远程执行代码

MS14-064 中的 3006226

Windows Server 2008 R2(用于基于 Itanium 的系统)Service Pack 1
(3139940)

重要
远程执行代码

重要
远程执行代码

MS14-064 中的 3006226

Windows 8.1

Windows 8.1(用于 32 位系统)
(3139940)

重要
远程执行代码

重要
远程执行代码

MS15-075 中的 3072633

Windows 8.1(用于基于 x64 的系统)
(3139940)

重要
远程执行代码

重要
远程执行代码

MS15-075 中的 3072633

Windows Server 2012 和 Windows Server 2012 R2

Windows Server 2012
(3139940)

重要
远程执行代码

重要
远程执行代码

MS15-075 中的 3072633

Windows Server 2012 R2
(3139940)

重要
远程执行代码

重要
远程执行代码

MS15-075 中的 3072633

Windows RT 8.1

Windows RT 8.1[1]
(3139940)

重要
远程执行代码

重要
远程执行代码

MS15-075 中的 3072633

Windows 10

Windows 10(用于 32 位系统)[2]
(3140745)

重要
远程执行代码

重要
远程执行代码

3135174

Windows 10(用于基于 x64 的系统)[2]
(3140745)

重要
远程执行代码

重要
远程执行代码

3135174

Windows 10 版本 1511(用于 32 位系统)[2]
(3140768)

重要
远程执行代码

重要
远程执行代码

3140743

Windows 10 版本 1511(用于基于 x64 的系统)[2]
(3140768)

重要
远程执行代码

重要
远程执行代码

3140743

服务器核心安装选项

Windows Server 2008(用于 32 位系统)Service Pack 2(服务器核心安装)
(3139940)

重要
远程执行代码

重要
远程执行代码

MS14-064 中的 3006226

Windows Server 2008(用于基于 x64 的系统)Service Pack 2(服务器核心安装)
(3139940)

重要
远程执行代码

重要
远程执行代码

MS14-064 中的 3006226

Windows Server 2008 R2(用于基于 x64 的系统)Service Pack 1(服务器核心安装)
(3139940)

重要
远程执行代码

重要
远程执行代码

MS14-064 中的 3006226

Windows Server 2012(服务器核心安装)
(3139940)

重要
远程执行代码

重要
远程执行代码

MS15-075 中的 3072633

Windows Server 2012 R2(服务器核心安装)
(3139940)

重要
远程执行代码

重要
远程执行代码

MS15-075 中的 3072633

[1]此更新程序通过 Windows 更新提供。

[2]Windows 10 更新程序是累积更新。 除了包含与安全无关的更新程序之外,其中还包含本月发布的安全公告附带的所有安全修补程序(可修复影响 Windows 10 的所有漏洞)。 您可以通过 Windows 更新目录获取此更新程序。

注意 Windows Server Technical Preview 4 受到影响。 我们建议运行这些操作系统的客户应用此更新程序(可通过 Windows 更新获取此更新程序)。

*“替代的更新程序”列仅显示任一系列被取代的更新程序中最新的更新程序。 有关替代的更新程序的完整列表,请转到 Microsoft 更新目录,搜索更新程序知识库文章编号,然后查看更新程序详细信息(替代的更新程序信息位于“程序包详细信息”选项卡中)。

漏洞信息

多个 Windows OLE 内存远程执行代码漏洞

当 Microsoft Windows OLE 无法正确验证用户输入时,存在多个远程执行代码漏洞。 攻击者可以使用这些漏洞以执行恶意代码。

要利用这些漏洞,攻击者必须诱使用户在网页或电子邮件中打开经特殊设计的文件或程序。 此更新程序通过更正 Windows OLE 验证用户输入的方式来修复这些漏洞。

下表包含指向“常见漏洞和披露”列表中每个漏洞标准条目的链接:





漏洞标题

CVE 编号

已公开披露

已被利用

Windows OLE 内存远程执行代码漏洞

CVE-2016-0091

Windows OLE 内存远程执行代码漏洞

CVE-2016-0092

缓解因素

Microsoft 并未发现这些漏洞的任何缓解因素

变通办法

Microsoft 并未发现这些漏洞的任何变通办法

安全更新程序部署


有关安全更新程序部署信息,请参阅此处引用的 Microsoft 知识库文章(在“执行摘要”中)。

鸣谢


Microsoft 通过协调漏洞披露渠道认可在安全社区中帮助我们对客户进行保护的人们所做出的努力。 有关详细信息,请参阅鸣谢部分。

免责声明


Microsoft 知识库中的信息“按原样”提供,没有任何形式的担保。 Microsoft 不作任何明示或暗示保证,包括对适销性和针对特定用途的适用性的保证。 Microsoft Corporation 或其供应商不对任何损害(包括直接的、间接的、偶然的、必然的损害、商业利润损失或特殊损害)承担任何责任,即使 Microsoft Corporation 或其供应商事先已被告知有可能发生此类损害。 有些州不允许排除或限制必然或偶然损害的赔偿责任,因此上述限制可能不适用。

修订版本

  • V1.0(2016 年 3 月 8 日): 公告已发布。

页面生成时间:2016-02-29 12:50-08:00。