累积安全更新 Internet Explorer (3148531)

发布日期： 2016年4月12日 | 更新日期： 2017年4月11日
版本： 2.0

执行摘要

此安全更新解决了Internet Explorer中的漏洞。如果用户使用Internet Explorer查看特制网页，最严重的漏洞可能允许远程代码执行。成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，攻击者可以控制受影响的系统。攻击者随后可以安装程序；查看、更改或删除数据；或者创建具有完全用户权限的新帐户。

此安全更新对于受影响的Windows客户端上的Internet Explorer 9（IE 9）和Internet Explorer 11（IE 11）评级为"严重"，对于受影响的Windows服务器上的Internet Explorer 9（IE 9）、Internet Explorer 10（IE 10）和Internet Explorer 11（IE 11）评级为"中等"。有关更多信息，请参阅"受影响的软件"部分。

安全更新通过以下方式解决漏洞：

修改Internet Explorer处理内存中对象的方式
纠正Internet Explorer在加载DLL文件之前验证输入的方式
帮助限制返回给Internet Explorer的信息

有关漏洞的更多信息，请参阅"漏洞信息"部分。

有关此更新的更多信息，请参阅Microsoft知识库文章3148531。

受影响的软件

以下软件版本或版本受到影响。未列出的版本或版本要么已超过其支持生命周期，要么不受影响。要确定软件版本或版本的支持生命周期，请参阅Microsoft支持生命周期。

操作系统和组件影响

操作系统	组件	最大安全影响	综合严重性评级	替换的更新
Internet Explorer 9
Windows Vista Service Pack 2	Internet Explorer 9 (4014661)	远程代码执行	严重	MS16-037中的3148198
Windows Vista x64 Edition Service Pack 2	Internet Explorer 9 (4014661)	远程代码执行	严重	MS16-037中的3148198
Windows Server 2008 for 32-bit Systems Service Pack 2	Internet Explorer 9 (4014661)	远程代码执行	中等	MS16-037中的3148198
Windows Server 2008 for x64-based Systems Service Pack 2	Internet Explorer 9 (4014661)	远程代码执行	中等	MS16-037中的3148198

注释： [1] 有关从2016年1月12日开始对Internet Explorer支持更改的信息，请参阅Microsoft支持生命周期。 [2] 此更新可通过Windows Update获得。 [3] Windows 10更新是累积性的。每月安全版本包括影响Windows 10的所有安全修复程序，以及非安全更新。这些更新可通过Microsoft更新目录获得。

更新常见问题解答

此更新是否包含任何与安全相关的其他功能更改？ 除了本公告中描述的漏洞所列的更改之外，此更新还包括深度防御更新，以帮助改进安全相关功能。

严重性评级和漏洞标识符

以下严重性评级假定漏洞的潜在最大影响。有关在此安全公告发布后30天内漏洞利用的可能性（与其严重性评级和安全影响相关）的信息，请参阅3月公告摘要中的可利用性指数。

在"严重性评级和影响"表中指定的"严重"、“重要"和"中等"值表示严重性评级。有关更多信息，请参阅安全公告严重性评级系统。请参考以下键以了解表中用于指示最大影响的缩写：

缩写	最大影响
RCE	远程代码执行
EoP	权限提升
ID	信息泄露
SFB	安全功能绕过

漏洞严重性评级和影响

CVE编号	漏洞标题	Internet Explorer 9	Internet Explorer 10	Internet Explorer 11	Windows 10上的Internet Explorer 11
CVE-2016-0154	Microsoft浏览器内存损坏漏洞	Windows客户端：严重/RCE Windows服务器：中等/RCE	Windows客户端：严重/RCE Windows服务器：中等/RCE	Windows客户端：严重/RCE Windows服务器：中等/RCE	Windows客户端：严重/RCE Windows服务器：中等/RCE
CVE-2016-0159	Internet Explorer内存损坏漏洞	Windows客户端：严重/RCE Windows服务器：中等/RCE	不适用	不适用	不适用
CVE-2016-0160	DLL加载远程代码执行漏洞	不适用	不适用	Windows客户端：重要/RCE Windows服务器：低/RCE	Windows客户端：重要/RCE Windows服务器：低/RCE
CVE-2016-0162	Internet Explorer信息泄露漏洞	Windows客户端：中等/ID Windows服务器：低/ID	Windows客户端：中等/ID Windows服务器：低/ID	Windows客户端：中等/ID Windows服务器：低/ID	Windows客户端：中等/ID Windows服务器：低/ID
CVE-2016-0164	Internet Explorer内存损坏漏洞	不适用	Windows客户端：严重/RCE Windows服务器：中等/RCE	Windows客户端：严重/RCE Windows服务器：中等/RCE	不适用
CVE-2016-0166	Internet Explorer内存损坏漏洞	不适用	不适用	Windows客户端：严重/RCE Windows服务器：中等/RCE	Windows客户端：严重/RCE Windows服务器：中等/RCE

漏洞信息

多个Internet Explorer内存损坏漏洞

当Internet Explorer不正确地访问内存中的对象时，存在多个远程代码执行漏洞。这些漏洞可能以允许攻击者在当前用户的上下文中执行任意代码的方式损坏内存。

攻击者可以托管一个特制的网站，该网站旨在通过Internet Explorer利用这些漏洞，然后诱使用户查看该网站。攻击者还可以利用被入侵的网站或接受或托管用户生成内容或广告的网站，通过添加可能利用漏洞的特制内容。但在所有情况下，攻击者都无法强制用户查看攻击者控制的内容。相反，攻击者必须说服用户采取行动，通常是通过电子邮件或即时消息中的诱惑，或者让他们打开通过电子邮件发送的附件。

成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，攻击者可以控制受影响的系统。攻击者随后可以安装程序；查看、更改或删除数据；或者创建具有完全用户权限的新帐户。该更新通过修改Internet Explorer处理内存中对象的方式来解决漏洞。

DLL加载远程代码执行漏洞 - CVE-2016-0160

当Internet Explorer在加载动态链接库（DLL）文件之前未正确验证输入时，存在远程代码执行漏洞。成功利用此漏洞的攻击者可以控制受影响的系统。攻击者随后可以安装程序；查看、更改或删除数据；或者创建具有完全用户权限的新帐户。在系统上配置为具有较少用户权限的用户可能比使用管理用户权限操作的用户受到的影响更小。

要利用该漏洞，攻击者必须首先登录到目标系统，然后运行特制的应用程序。更新通过纠正Internet Explorer在加载DLL文件之前验证输入的方式来解决该漏洞。

Internet Explorer信息泄露漏洞 - CVE-2016-0162

当Internet Explorer不正确地处理JavaScript时，存在信息泄露漏洞。该漏洞可能允许攻击者检测用户计算机上的特定文件。在基于Web的攻击场景中，攻击者可以托管一个用于尝试利用该漏洞的网站。

此外，被入侵的网站和接受或托管用户生成内容的网站可能包含可能利用该漏洞的特制内容。但在所有情况下，攻击者都无法强制用户查看攻击者控制的内容。相反，攻击者必须说服用户采取行动。例如，攻击者可以诱骗用户点击将他们带到攻击者站点的链接。

成功利用该漏洞的攻击者可能能够读取未打算披露的数据。请注意，该漏洞不允许攻击者执行代码或直接提升用户权限，但该漏洞可用于获取信息以试图进一步危害受影响的系统。该更新通过帮助限制返回给Internet Explorer的信息来解决该漏洞。

安全更新部署

有关安全更新部署的信息，请参阅执行摘要中引用的Microsoft知识库文章。

致谢

Microsoft感谢安全社区中那些通过协调漏洞披露帮助我们保护客户的人所做的努力。有关更多信息，请参阅致谢。

免责声明

Microsoft知识库中提供的信息"按原样"提供，不作任何形式的担保。Microsoft否认所有明示或暗示的担保，包括适销性和特定用途适用性的担保。在任何情况下，Microsoft Corporation或其供应商均不对任何损害承担责任，包括直接、间接、附带、后果性、商业利润损失或特殊损害，即使Microsoft Corporation或其供应商已被告知可能发生此类损害。某些州不允许排除或限制附带或后果性损害的责任，因此上述限制可能不适用。

修订版本

V1.0（2016年4月12日）：公告发布。
V2.0（2017年4月11日）：公告修订，宣布发布新的Internet Explorer累积更新（4014661）以解决CVE-2016-0162。该更新是对原始版本的补充，以全面解决CVE-2016-0162。Microsoft建议运行受影响软件的客户安装安全更新，以完全防范本公告中描述的漏洞。有关更多信息，请参阅Microsoft知识库文章4014661。

页面生成时间：2017年4月5日 12:34-07:00。

Internet Explorer累积安全更新MS16-037解析

微软发布针对Internet Explorer浏览器的关键安全更新MS16-037，修复多个内存损坏漏洞、DLL加载漏洞和信息泄露漏洞，攻击者可利用这些漏洞实现远程代码执行和信息窃取。