又到一年此时：2012年12月安全公告发布

节日快乐！希望大家都在享受这个欢乐的季节。我喜欢提前完成节日购物，今年也不例外。上周节日购物途中，当我从一个商店转到另一个商店付款时，我想起了“Pass-the-Hash”（哈希传递）。（购物时我的思绪总是有点飘忽。）对于不熟悉的人来说，Pass-the-Hash（PtH）是一种攻击技术，攻击者在一台计算机上捕获账户登录凭据，然后使用这些捕获的凭据通过网络验证到其他计算机。过去已有各种人讨论过这种技术，我们也看到它在攻击中被使用。今天，TwC发布了一份白皮书，列出了帮助防止这类攻击的方法。请花几分钟时间在TwC团队博客上阅读关于Pass-the-Hash技术的内容，或者下载白皮书，在去奶奶家的路上阅读。你不会失望的。

现在，谈谈今天的新闻；今天我们发布了七个公告，五个严重级别和两个重要级别，解决了Microsoft Windows、Internet Explorer（IE）、Word和Windows Server中的12个漏洞。对于那些需要优先部署的人，我们建议首先关注以下两个关键更新：

MS12-077（Internet Explorer）

此安全更新解决了三个严重级别的Internet Explorer问题，可能导致远程代码执行。这些问题存在于所有版本的IE中，但没有证据表明它们公开已知或正在被利用。你会注意到IE 9之前版本没有严重性评级。在这些版本上，更新仅是深度防御更改。尽管这些版本没有已知的攻击向量，我们仍然建议使用这些版本的客户应用更新。**

MS12-079（Microsoft Word）

此安全更新解决了Microsoft Word中的一个问题。此公告具有严重严重性评级，可能导致远程代码执行。如果用户打开特制的富文本格式（RTF）文件，或在Outlook中使用Microsoft Word作为电子邮件查看器时预览或打开特制的RTF电子邮件消息，攻击者可以在登录用户的上下文中运行代码。此问题已私下披露，我们不知道任何攻击或客户影响。

安全公告2755801

随着本月的发布，我们还修订了安全公告2755801，以解决IE 10中Adobe Flash Player的问题。这是一个累积更新，意味着客户不需要安装以前的更新作为安装当前更新的先决条件。我们继续致力于与Adobe密切合作，提供与Adobe更新过程一致的质量保护。

请观看下面的公告概述视频以获取更多信息。

一如既往，我们建议客户尽快部署所有安全更新。我们的部署优先级指导如下，以进一步协助部署规划（点击查看大图）。

我们的风险和影响图显示了本月严重性和可利用性指数的聚合视图（点击查看大图）。

有关本月安全更新的更多信息，请访问Microsoft安全公告摘要网页。

按照我们的常规流程，Jonathan Ness和我将在周三主持每月技术网络广播。我邀请您收听并了解更多关于12月安全公告和咨询的信息。我们已安排网络广播于2012年12月12日星期三太平洋标准时间上午11点举行，您可以在此处注册。

获取所有最新信息，您还可以在Twitter上关注MSRC团队@MSFTSecResponse。

希望大家度过一个美好的假期季节，安全旅行，我期待在网络广播中听到您的问题。

Dustin Childs 集团经理 可信计算