优先部署四月安全公告
我们刚刚发布了八个安全公告，其中五个在至少一个平台上被评为"严重"。我们建立了一个参考表，包含公告严重等级、可利用性指数评级和攻击向量。该表首先按公告严重性排序，其次按可利用性指数评级排序，最后按公告编号排序。我们希望这能帮助您选择公告的顺序，以便在无法立即部署所有补丁时开始优先级排序和测试。
安全公告详情
| 公告编号 | 最高严重等级 | 最高可利用性指数 | 是否存在公开已知漏洞？ | 代码执行攻击向量/备注 |
|---|---|---|---|---|
| MS09-009 | 严重 | 高(1) | 是，CVE-2009-0238已知已被利用 | 通过电子邮件附件或网站上的XLS文件。这些漏洞仅在Office 2000上为严重，其他版本Office会强制用户点击提示，将严重性降为重要 |
| MS09-010 | 严重 | 高(1) | 是，CVE-2009-0235已知已被利用 | 通过电子邮件附件或网站上的RTF、WRI或DOC文件。关于转换器攻击面的更多详细信息可在此处博客文章查看 |
| MS09-013 | 严重 | 高(1) | 是，CVE-2009-0550（SMBRelay）有公开可用的利用工具。但此CVE评级为重要，非严重 | 严重CVE的攻击向量是客户端应用程序使用WinHTTP向恶意服务器发起基于网络的请求。恶意服务器响应畸形请求，导致客户端应用程序崩溃或在运行应用程序的用户上下文中执行代码。Internet Explorer不使用WinHTTP |
| MS09-014 | 严重 | 高(1) | 是，CVE-2008-2540已知外部存在。但评级为"中等"。此公告还解决了上述CVE-2009-0550的部分问题 | 严重CVE的攻击向量是Internet Explorer连接到恶意网站。您可以在此处阅读我们如何修复公开的CVE-2008-2540（Safari地毯式轰炸） |
| MS09-011 | 严重 | 中等(2) | 否 | 通过电子邮件附件或指向AVI文件的网页 |
| MS09-012 | 重要 | 高(1) | 是，有公开可用的利用工具 | 攻击者入侵IIS托管的Web应用程序后，可利用这些漏洞提升至SYSTEM权限。您可以在此处阅读我们如何修复此漏洞 |
| MS09-016 | 重要 | 低(3) | 是，此漏洞的有限细节已知外部 | 无代码执行威胁 |
| MS09-015 | 中等 | 中等(2) | 是 | 无已知攻击向量 |
联系方式
我们很乐意回答您关于这些公告的任何问题。您可以通过switech _AT microsoft.com联系我们。我们还将在每月的MSRC网络广播中描述公告并现场回答问题。您可以在MSRC博客上找到参加该网络广播的说明。
更新4月15日：将MS09-015的最大可利用性指数评级修订为"2"。感谢读者Wandile指出不一致之处。
- Jonathan Ness, SRD博主 发布内容"按原样"提供，不提供任何担保，也不授予任何权利。