评估2012年1月安全更新的风险
今天，我们发布了七个安全公告。其中一个最高严重性评级为“关键”，其余六个为“重要”。希望下表能帮助您根据环境优先部署更新。
| 公告 | 最可能的攻击向量 | 最高公告严重性 | 最高可利用性评级 | 可能的前30天影响 | 平台缓解措施和关键说明 |
|---|---|---|---|---|---|
| MS12-004 (Windows Media) | 受害者浏览恶意网站或打开恶意媒体文件。 | 关键 | 1 | 可能在未来30天内出现漏洞利用代码 | Windows 7默认不受这两个漏洞影响。更多信息参见SRD博客文章。 |
| MS12-005 (Office) | 受害者打开恶意PPS或DOC文件。 | 重要 | 1 | 可能在未来30天内出现漏洞利用代码 | |
| MS12-003 (CSRSS) | 攻击者本地登录机器并利用漏洞提升权限。 | 重要 | 1 | 可能在未来30天内出现漏洞利用代码 | 仅影响双字节控制台系统（英语区域不受影响）。Windows Vista及更高平台不受影响。 |
| MS12-002 (Object Packager) | 受害者浏览恶意WebDAV或SMB共享并打开Publisher (PUB)文件，Publisher执行同一共享上的潜在恶意可执行文件。 | 重要 | 1 | 可能在未来30天内出现漏洞利用代码 | |
| MS12-006 (SSL/TLS) | 受害者通过HTTPS浏览受信任网站，恶意攻击者作为中间人主动攻击会话，注入内容以利用此漏洞和第二个漏洞（绕过浏览器同源策略），导致HTTPS会话内容泄露给攻击者。 | 重要 | 3 | 信息泄露漏洞利用代码已可用，但无法用于代码执行 | 更多背景信息参见SRD博客文章。 |
| MS12-007 (Anti-XSS Library) | 期望Anti-XSS库通过移除脚本清理内容的Web应用程序可能无意中消费包含脚本的字符串。 | 重要 | 3 | 无法用于代码执行 | |
| MS12-001 (Kernel) | 如果攻击者能够（单独）发现使用Visual C++ 2003 RTM开发的应用程序中的代码执行漏洞，由于未强制执行SafeSEH，后续开发漏洞利用可能更容易。 | 重要 | 3 | 无法用于代码执行 | 更多背景信息参见SRD博客文章。 |
- Jonathan Ness, MSRC Engineering
攻击向量
可利用性
评级
风险评估
上一篇帖子
下一篇帖子
相关帖子
- 影响TCP/IP的多个安全更新：CVE-2021-24074、CVE-2021-24094和CVE-2021-24086
- 评估2014年9月安全更新的风险
- 评估2014年8月安全更新的风险