评估2013年10月安全更新的风险
今天，我们发布了八个安全公告，解决了25个CVE漏洞。其中四个公告的最高严重性评级为“关键”，另外四个为“重要”。我们希望下表能帮助您根据环境优先部署更新。
| 公告 | 最可能的攻击向量 | 最高公告严重性 | 最高可利用性 | 可能的前30天影响 | 平台缓解措施和关键说明 |
|---|---|---|---|---|---|
| MS13-080 (IE) | 受害者浏览恶意网页。 | 关键 | 1 | 可能继续看到针对CVE-2013-3893和CVE-2013-3897的攻击。 | 解决了两个当前受有限攻击的CVE和七个未知受攻击的CVE。 |
| MS13-081 (内核) | 攻击者已在机器上运行代码，利用此漏洞从低权限账户提升到SYSTEM；或受害者浏览含恶意OTF字体的网页。 | 关键 | 1 | 可能在未来30天内开发出可靠漏洞利用。 | |
| MS13-083 (控件) | 受害者在Word或Wordpad中打开含嵌入控件的恶意RTF文件，导致以登录用户上下文执行代码。 | 关键 | 1 | 可能在未来30天内开发出可靠漏洞利用。 | ComCtl32用于多种场景；最可能攻击向量是通过Office文档中的MSCOMCTL，建议在所有系统上应用更新。 |
| MS13-082 (.NET) | 受害者浏览内网区域网站托管的恶意XBAP应用程序。 | 关键 | 2 | 不太可能开发出可靠漏洞利用。 | |
| MS13-085 (Excel) | 受害者打开恶意Excel电子表格。 | 重要 | 1 | 可能在未来30天内开发出可靠漏洞利用。 | |
| MS13-086 (Word) | 受害者打开恶意Word文档。 | 重要 | 1 | 可能在未来30天内开发出可靠漏洞利用。 | Office 2010和2013不受影响。 |
| MS13-084 (SharePoint) | 攻击者发送链接，利用内网SharePoint服务器的XSS漏洞，受害者点击后自动执行操作。 | 重要 | 1 | 可能在未来30天内开发出可靠漏洞利用。 | 默认情况下，现代浏览器阻止Internet区域站点的XSS攻击。 |
| MS13-087 (Silverlight) | 可能用于多阶段攻击，允许攻击者访问同一进程的内存地址或内容。 | 重要 | n/a | 无直接代码执行可能。 | 仅信息泄露。 |
- Jonathan Ness, MSRC Engineering