Microsoft 資訊安全公告 MS16-038 - 重大

Microsoft Edge 的累積安全性更新 (3148532)

發行日期:2016 年 4 月 12 日

版本: 1.0

提要

此安全性更新可解決 Microsoft Edge 中的弱點。其中最嚴重的弱點,可能在使用者以 Microsoft Edge 檢視蓄意製作的網頁時允許遠端執行程式碼。成功利用這些弱點的攻擊者可以取得與本機使用者相同的使用者權限。系統上帳戶使用者權限較低的客戶,其受影響的程度比擁有系統管理權限的使用者要小。

對於 Windows 10 上的 Microsoft Edge,此安全性更新的等級為「重大」。如需更多資訊,請參閱<受影響的軟體>一節。

此更新可解決這些弱點,方法為:

  • 修改 Microsoft Edge 處理記憶體中物件的方式。
  • 確定跨網域原則會在 Microsoft Edge 中正確強制執行。

如需有關此弱點的詳細資訊,請參閱<弱點資訊>一節。

如需有關此更新的詳細資訊,請參閱 Microsoft 知識庫文章編號 3148532

受影響的軟體

下列軟體版號或版本會受到影響。未列出的版號或版本不是超出支援週期就是不受影響。若要瞭解您的軟體版本的支援週期,請參閱 Microsoft 產品技術支援週期網站

作業系統 元件 最大資訊安全影響 彙總嚴重性等級 取代的更新
Microsoft Edge
適用於 32 位元系統的 Windows 10[1] (3147461) Microsoft Edge 遠端執行程式碼 重大 3140745
適用於 x64 型系統的 Windows 10[1] (3147461) Microsoft Edge 遠端執行程式碼 重大 3140745
適用於 32 位元系統的 Windows 10 1511 版[1] (3147458) Microsoft Edge 遠端執行程式碼 重大 3140768
適用於 x64 型系統的 Windows 10 1511 版[1] (3147458) Microsoft Edge 遠端執行程式碼 重大 3140768

[1]Windows 10 更新是累積性的。除了非安全性更新之外,每月安全性更新發行也包含會影響 Windows 10 的所有弱點安全性修正程式。此更新透過 Microsoft Update Catalog 提供。

注意 Windows Server 2016 Technical Preview 4 和 Windows Server 2016 Technical Preview 5 會受到影響。建議執行這些作業系統的客戶套用更新,您可以透過 Windows Update 取得更新。

更新常見問題集

此更新是否包含功能上的任何其他有關資訊安全的變更?
除了本公告所列出的弱點變更外,此更新還包含若干深度防禦更新以協助改善資訊安全相關功能。

嚴重性等級和弱點識別碼

下列嚴重性等級是假設弱點可能造成的最嚴重影響而評定。在本資訊安全公告發行的 30 天內,如需弱點之易遭利用性與嚴重性等級和安全性影響之間對應關係的資訊,請參閱 4 月份公告摘要中的<弱點入侵指數>。

「嚴重性等級和影響」表中指定的「重大」、「重要」與「中度」值代表嚴重性等級。如需更多資訊,請參閱資訊安全公告嚴重性等級系統。請參閱表格中使用的下列縮寫鍵來表示最大的影響:

縮寫 最嚴重影響
RCE 遠端執行程式碼
EoP 權限提高
識別碼 資訊洩漏
SFB 資訊安全功能略過

弱點嚴重性等級和影響

CVE 編號

弱點標題

Microsoft Edge

CVE-2016-0154

Microsoft 瀏覽器記憶體損毀弱點

Windows 用戶端:
重大/RCE
Windows 伺服器:
中度/RCE

CVE-2016-0155

Microsoft Edge 記憶體損毀弱點

Windows 用戶端:
重大/RCE
(僅 Windows 10 1511 版會受到影響)
Windows 伺服器:
中度/RCE

CVE-2016-0156

Microsoft Edge 記憶體損毀弱點

Windows 用戶端:
重大/RCE
Windows 伺服器:
中度/RCE

CVE-2016-0157

Microsoft Edge 記憶體損毀弱點

Windows 用戶端:
重大/RCE
Windows 伺服器:
中度/RCE

CVE-2016-0158

Microsoft Edge 權限提高弱點

Windows 用戶端:
重要/EOP
Windows 伺服器:
中度/EoP

CVE-2016-0161

Microsoft Edge 權限提高弱點

Windows 用戶端:
中度/EoP
Windows 伺服器:
低/EoP

弱點資訊

多個 Microsoft Edge 記憶體損毀弱點

Microsoft Edge 不當存取記憶體中的物件時,即存在多個遠端執行程式碼弱點。這些弱點會損壞記憶體,可讓攻擊者在目前使用者的內容中執行任意程式碼。

在網頁型攻擊的案例中,攻擊者可以針對經由 Microsoft Edge 引起的弱點來設計並架設蓄意製作的網站,然後引誘使用者檢視該網站。攻擊者也可能利用受侵害的網站,以及接受或存放使用者提供之內容或廣告的網站 (透過新增蓄意製作以利用此弱點的內容)。但是,攻擊者無法強迫使用者檢視受攻擊者控制的內容,而是攻擊者必須引誘使用者採取動作,一般是藉助電子郵件的附件或 Instant Messenger 訊息,或是讓他們開啟經由電子郵件傳送的附件。

成功利用這些弱點的攻擊者可以取得與本機使用者相同的使用者權限。如果目前使用者以系統管理的使用者權限登入,則攻擊者即可取得受影響系統的控制權。攻擊者接下來將能安裝程式,檢視、變更或刪除資料,或建立具有完整使用者權限的新帳戶。此更新會修改 Microsoft Edge 處理記憶體中物件的方式,藉此解決這些弱點。

下表包含「一般性弱點」清單中每個弱點的標準項目連結:

弱點標題 CVE 編號 已公開揭露 是否遭到利用
Microsoft 瀏覽器記憶體損毀弱點 CVE-2016-0154
Microsoft Edge 記憶體損毀弱點 CVE-2016-0155
Microsoft Edge 記憶體損毀弱點 CVE-2016-0156
Microsoft Edge 記憶體損毀弱點 CVE-2016-0157

緩和因素

Microsoft 尚未找到這些弱點的任何緩和因素

因應措施

Microsoft 尚未找到這些弱點的任何因應措施

Microsoft Edge 權限提高 - CVE-2016-0158

當 Microsoft Edge 未適當地強制執行跨網域原則時會存在權限提高弱點,可讓攻擊者從某個網域存取資訊並將其置於其他網域中。在網頁型攻擊案例中,攻擊者可能會架設網站來嘗試利用此弱點。

此外,受侵害的網站以及接受或存放使用者提供之內容的網站裡,也可能包含蓄意製作以利用本弱點的內容。不過,在所有情況下,攻擊者無法強制使用者檢視攻擊者所控制的內容。而是必須引誘使用者採取行動。例如,攻擊者可以引誘使用者按一下通往攻擊者網站的連結。成功利用此弱點的攻擊者可以在受影響版本的 Microsoft Edge 中提高權限。

此弱點本身不會允許執行任意程式碼。但是,此弱點可能用來搭配另一個弱點 (例如,遠端執行程式碼的弱點),而攻擊者可能會利用提高的權限執行任意程式碼。例如,攻擊者可利用另一個弱點透過 Microsoft Edge 執行任意程式碼,但由於程序在該內容中是由 Microsoft Edge 啟動,因此會限制以較低的完整性層級 (即為有限的權限) 執行程式碼。但是,攻擊者隨後可利用此弱點而以中等完整性層級 (目前使用者的權限) 執行任意程式碼。此更新可協助確保在 Microsoft Edge 中適當地強制執行跨網域原則,進而解決這項弱點。

下表包含「一般性弱點」清單中每個弱點的標準項目連結:

弱點標題 CVE 編號 已公開揭露 是否遭到利用
Microsoft Edge 權限提高弱點 CVE-2016-0158

緩和因素

Microsoft 尚未找到此項弱點的任何緩和因素

因應措施

Microsoft 尚未找到此項弱點的任何因應措施

Microsoft Edge 權限提高弱點 - CVE-2016-0161

提高權限弱點導因於 Microsoft Edge 於特定情況下無法正確驗證 JavaScript,而這可能會允許以提高的權限執行指令碼。在網頁型攻擊案例中,攻擊者可能會架設網站來嘗試利用此弱點。

此外,受侵害的網站以及接受或存放使用者提供之內容的網站裡,也可能包含蓄意製作以利用本弱點的內容。但是,無論如何,攻擊者無法強迫使用者檢視受攻擊者控制的內容,而是必須引誘使用者採取行動。例如,攻擊者可以引誘使用者按一下通往攻擊者網站的連結。成功利用此弱點的攻擊者可以在受影響版本的 Microsoft Edge 中提高權限。攻擊者接下來便能利用這些權限搭配另一個弱點,以中等完整性層級權限 (目前使用者的權限) 執行任意程式碼。

此弱點本身不會允許執行任意程式碼。但是,此弱點可能用來搭配另一個弱點 (例如,遠端執行程式碼的弱點),而後者可能會利用提高的權限執行任意程式碼。例如,攻擊者可利用另一個弱點透過 Microsoft Edge 執行任意程式碼,但由於程序在該內容中是由 Internet Explorer 啟動,因此會限制以較低的完整性層級 (即為有限的權限) 執行程式碼。

但是,攻擊者隨後可利用此弱點而以中等完整性層級 (目前使用者的權限) 執行任意程式碼。此更新會新增其他權限驗證至 Microsoft Edge,以解決這個弱點。

下表包含「一般性弱點」清單中每個弱點的標準項目連結:

弱點標題 CVE 編號 已公開揭露 是否遭到利用
Microsoft Edge 權限提高弱點 CVE-2016-0161

緩和因素

Microsoft 尚未找到此項弱點的任何緩和因素

因應措施

Microsoft 尚未找到此項弱點的任何因應措施

安全性更新部署

如需安全性更新部署資訊,請在這裡參閱<提要>中的 Microsoft 知識庫文章。

致謝

Microsoft 了解資訊安全業界所做的努力,其盡責地透露弱點來協助我們保護客戶。請參閱致謝 (英文) 以取得詳細資訊。

免責聲明

Microsoft 知識庫 (Microsoft Knowledge Base) 中的資訊係以其「現狀」提供,並不提供任何形式之擔保。Microsoft 不做任何明示或默示的責任擔保,包括適售性以及適合某特定用途之擔保責任。無論任何情況下的損害,Microsoft Corporation 及其供應商皆不負任何法律責任,包括直接、間接、偶發、衍生性、所失業務利益或特殊損害。即使 Microsoft Corporation 及其供應商已被告知此類損害的可能性亦不負任何責任。某些地區不允許排除及限制衍生性或附隨損害賠償責任,因此前述限制不適用於這些地區。

修訂

  • V1.0 (2016 年 4 月 12 日):公告發行。

頁面產生時間:06.04.16 09:52:00-07:00。