Microsoft 安全公告 MS10-035 - 严重

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。以下缓解因素在您遇到的情形中可能会有所帮助：

• 在基于 Web 的攻击情形中，攻击者可能拥有一个网站，并在上面放置用来利用此漏洞的网页。另外，接受或宿主用户提供的内容或广告的网站以及受到破坏的网站可能包含可能利用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户访问这些网站。相反，攻击者必须诱使用户访问该网站，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接以使用户链接到攻击者的网站。
• 默认情况下，Microsoft Outlook、Microsoft Outlook Express 和 Windows Mail 的所有支持版本在受限制的站点区域打开 HTML 电子邮件信息（会禁用脚本和 ActiveX 控件），同时删除可利用此漏洞的攻击者执行恶意代码的风险。在基于 Web 的攻击情形中，如果用户单击电子邮件中的链接，他们可能仍然容易受到利用此漏洞的影响。
• 默认情况下，Windows Server 2003 和 Windows Server 2008 上的 Internet Explorer 在一种称为“增强安全配置”的受限模式下运行。此模式会将 Internet 区域的安全级别设置为“高”。此缓解因素适用于未被添加到 Internet Explorer“受信任的站点”区域的网站。有关 Internet Explorer 增强安全配置的详细信息，请参阅此漏洞的“常见问题”部分。
• 在 Windows Vista、Windows Server 2008、Windows 7 和 Windows Server 2008 R2 上使用 Windows Internet Explorer 7 和 Internet Explorer 8 可减轻该漏洞的影响。
• Windows Vista 及更高版本操作系统上的保护模式有助于防止利用该问题。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 将 Internet 和本地 Intranet 安全区域设置设为“高”，以便在这些区域中阻止 ActiveX 控件和活动脚本

  通过更改 Internet 安全区域的设置以阻止 ActiveX 控件和活动脚本，可帮助防止利用此漏洞。通过将浏览器的安全级别设置为“高”可以达到上述目的。

  要提高 Internet Explorer 中的浏览安全级别，请按照以下步骤进行操作：

  1. 在 Internet Explorer 的“工具”菜单上，单击“Internet 选项”。
  2. 在“Internet 选项”对话框中，单击“安全”选项卡，然后单击“Internet”图标。
  3. 在“该区域的安全级别”下，将滑块移至“高”。这将您访问的所有网站的安全级别均设置为“高”。

  注意 如果看不到滑块，请单击“默认级别”，然后再将滑块移至“高”。

  注意 将安全级别设置为“高”可能会导致某些网站无法正常工作。在更改此设置后，如果您在使用某个网站时遇到困难，但您确定该站点是安全的，则可以将该站点添加到受信任的站点列表中。在这种情况下，即使安全级别设置为“高”，此站点也可以正常工作。

  变通办法的影响。阻止 ActiveX 控件和活动脚本会带来负面影响。Internet 或 Intranet 上的许多网站都使用 ActiveX 或活动脚本来提供附加功能。例如，在线电子商务站点或银行站点可能使用 ActiveX 控件来提供菜单、订购单乃至帐户报表。阻止 ActiveX 控件或活动脚本是一个全局设置，它影响所有 Internet 和 Intranet 站点。如果不希望针对这些站点阻止 ActiveX 控件或活动脚本，请使用“将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域”中概述的步骤。

  将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域

  在 Internet 区域和本地 Intranet 区域中将 Internet Explorer 设置为阻止 ActiveX 控件和活动脚本之后，可以将受信任的站点添加到 Internet Explorer 的“受信任的站点”区域。这样，您就可以照常使用受信任的网站，同时又有助于防范非受信任站点上的此类攻击。我们建议您只将信任的站点添加到“受信任的站点”区域。

  为此，可执行以下步骤：

  1. 在 Internet Explorer 中，单击“工具”，单击“Internet 选项”，然后单击“安全”选项卡。
  2. 在标为“请为不同区域的 Web 内容指定安全设置”的框中，单击“受信任的站点”，然后单击“站点”。
  3. 如果您想要添加不需要加密频道的站点，请单击以清除“对该区域中的所有站点要求服务器验证 (https:)”复选框。
  4. 在“将该站点添加到区域中”框中，键入您信任的站点的 URL，然后单击“添加”。
  5. 对想添加到区域中的每一个站点重复这些步骤。
  6. 单击“确定”两次，接受更改并返回到 Internet Explorer。

  注意 添加您相信不会在您的系统上执行恶意操作的任何站点。特别是，您可能需要添加两个站点：*.windowsupdate.microsoft.com 和 *.update.microsoft.com。这些站点将提供此更新，需要使用 ActiveX 控件来安装更新。

• 将 Internet Explorer 配置为在 Internet 和本地 Intranet 安全区域中运行活动脚本或禁用活动脚本之前进行提示

  通过更改设置，以在 Internet 和本地 Intranet 安全区域中运行活动脚本或禁用活动脚本之前进行提示，可帮助防止利用此漏洞。为此，可执行以下步骤：

  1. 在 Internet Explorer 中，单击“工具”菜单上的“Internet 选项”。
  2. 单击“安全”选项卡。
  3. 单击“Internet”，然后单击“自定义级别”。
  4. 在“设置”下方，在“脚本”部分的“活动脚本”下方单击“提示 ”或“禁用”，然后单击“确定”。
  5. 单击“本地 Intranet”，然后单击“自定义级别”。
  6. 在“设置”下方，在“脚本”部分的“活动脚本”下方单击“提示 ”或“禁用”，然后单击“确定”。
  7. 单击“确定”两次返回到 Internet Explorer。

  注意 禁用 Internet 和本地 Intranet 安全区域中的活动脚本可能导致某些网站无法正常工作。在更改此设置后，如果您在使用某个网站时遇到困难，但您确定该站点是安全的，则可以将该站点添加到受信任的站点列表中。这将允许站点正常工作。

  变通办法的影响。 在运行活动脚本之前提示有负面影响。Internet 或 Intranet 上的许多网站都使用活动脚本来提供附加功能。例如，在线电子商务站点或银行站点可能使用活动脚本来提供菜单、订购单乃至帐户报表。在运行活动脚本之前进行提示是一个全局设置，它影响所有 Internet 和 Intranet 站点。在启用此变通方法后，将会频繁出现提示。对于每一提示，如果您认为信任您所访问的站点，则单击“是”运行活动脚本。如果您不想在访问所有这些网站时进行提示，请使用“将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域”中概述的步骤。

  将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域

  在将 Internet Explorer 设置为在 Internet 区域和本地 Intranet 区域运行 ActiveX 控件和活动脚本之前需要提示之后，可以将受信任的站点添加到 Internet Explorer 的“受信任的站点”区域。这样，您就可以照常使用受信任的网站，同时又有助于防范非受信任站点上的此类攻击。我们建议您只将信任的站点添加到“受信任的站点”区域。

  为此，可执行以下步骤：

  1. 在 Internet Explorer 中，单击“工具”，单击“Internet 选项”，然后单击“安全”选项卡。
  2. 在标为“请为不同区域的 Web 内容指定安全设置”的框中，单击“受信任的站点”，然后单击“站点”。
  3. 如果您想要添加不需要加密频道的站点，请单击以清除“对该区域中的所有站点要求服务器验证 (https:)”复选框。
  4. 在“将该站点添加到区域中”框中，键入您信任的站点的 URL，然后单击“添加”。
  5. 对想添加到区域中的每一个站点重复这些步骤。
  6. 单击“确定”两次，接受更改并返回到 Internet Explorer。

  注意 添加您相信不会在您的系统上执行恶意操作的任何站点。特别是，您可能需要添加两个站点：*.windowsupdate.microsoft.com 和 *.update.microsoft.com。这些站点将提供此更新，需要使用 ActiveX 控件来安装更新。

• 为文件协议启用网络协议锁定

  Internet Explorer 可以配置为在“本地计算机”区域外的其他区域中从特定网络协议锁定内容。此功能允许管理员扩展本地计算机区域锁定中的相同限制以应用于任何安全区域中的任何协议。

  警告 如果不正确地使用注册表编辑器，可能导致严重的问题，或许需要您重新安装操作系统。Microsoft 不保证您可以解决因错误运用注册表编辑器而产生的问题。使用注册表编辑器的风险由您自己承担。

  要用网络协议锁定来锁定文件协议，请将以下文本粘贴到记事本等文本编辑器中。然后，使用 .reg 文件扩展名保存文件。

  Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl\FEATURE_PROTOCOL_LOCKDOWN]
"explorer.exe"=dword:00000001
"iexplore.exe"=dword:00000001
"*"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols\1]
"file"="file"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols\3]
"file"="file"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols\4]
"file"="file"

  您可以通过双击此 .reg 文件将其应用到各个系统。您还可以使用组策略跨域应用该文件。有关组策略的详细信息，请访问以下 Microsoft 网站：

  • 组策略集合
  • 什么是组策略对象编辑器
  • 核心组策略工具和设置

  变通办法的影响。文件协议将被锁定。

  如何撤消变通方法。

  要解除文件协议锁定，请将以下文本粘贴到记事本等文本编辑器中。然后，使用 .reg 文件扩展名保存文件。

  Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN\FeatureControl\FEATURE_PROTOCOL_LOCKDOWN]
"explorer.exe"=dword:00000000
"iexplore.exe"=dword:00000000
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\RestrictedProtocols]

  您可以通过双击此 .reg 文件将其应用到各个系统。您还可以使用组策略跨域应用该文件。

• 使用自动 Microsoft Fix it 为文件协议启用网络协议锁定

  要使用自动 Microsoft Fix it 解决方案启用或禁用此变通办法，请参阅 Microsoft 知识库文章 980088。

  变通办法的影响。Internet/本地 Intranet 区域/受限站点区域中 UNC 路径的 HTML 内容不再自动运行脚本或 ActiveX 控件。

此漏洞的影响范围有多大？ 
这是一个信息泄露漏洞。在用户查看网页时成功利用此漏洞的攻击者可在攻击者网页的域或区域以外的某个域或 Internet Explorer 区域内查看来自本地计算机或浏览器窗口的上下文。

造成此漏洞的原因是什么？ 
Internet Explorer 缓存数据并错误地允许将缓存内容显示为 HTML，从而绕过 Internet Explorer 域限制。

攻击者可能利用此漏洞执行什么操作？ 
成功利用此漏洞的攻击者可在另一个域或 Internet Explorer 区域中查看来自本地计算机或浏览器窗口的上下文。

攻击者如何利用此漏洞？ 
攻击者可能拥有一个旨在通过 Internet Explorer 利用此漏洞的特制网站，然后诱使用户查看该网站。攻击者还可能利用受到破坏的网站以及接受或宿主用户提供的内容或广告的网站。这些网站可能包含可以利用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户访问这些网站。相反，攻击者必须说服用户访问该网站，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接以使用户链接到攻击者的网站。它还可能使用横幅广告或其他方式显示特制的 Web 内容，以便将 Web 内容传递至受影响的系统。

受此漏洞威胁最大的系统有哪些？ 
要利用此漏洞执行任何恶意操作，需要用户登录并访问网站。因此，任何频繁使用 Internet Explorer 的系统（如工作站或终端服务器）受此漏洞的威胁最大。

我当前是在 Windows Server 2003 或 Windows Server 2008 上运行 Internet Explorer，这是否可以减轻此漏洞的影响？ 
是。默认情况下，Windows Server 2003 和 Windows Server 2008 上的 Internet Explorer 在一种称为“增强安全配置”的受限模式下运行。增强安全配置是一组预先配置好的 Internet Explorer 设置，可以减小用户或管理员在服务器上下载并运行特制 Web 内容的可能性。此缓解因素适用于未被添加到 Internet Explorer“受信任的站点”区域的网站。另请参阅管理 Internet Explorer 增强安全配置。

此更新有什么作用？ 
此更新修改 Internet Explorer 处理缓存内容的方式。

发布此安全公告时，此漏洞是否已公开披露？ 
是。此漏洞已公开披露。已为此漏洞分配了常见漏洞和披露号码 CVE-2010-0255。此漏洞最初是在 Microsoft 安全通报 980088 中介绍的。

我已部署 Microsoft 安全通报 980088 中的变通办法为文件协议启用网络协议锁定。在安装此安全更新之前是否需要禁用此变通办法？ 
是。Microsoft 建议在安装此安全更新之前，从以前应用了此变通办法的系统中撤消此变通办法。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？ 
否。在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。以下缓解因素在您遇到的情形中可能会有所帮助：

• 只有使用 toStaticHTML API 的网站才可能受影响。
• 仅影响 Internet Explorer 8 中的 Quirk 呈现模式。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 将 Internet 和本地 Intranet 安全区域设置设为“高”，以便在这些区域中阻止 ActiveX 控件和活动脚本

  通过更改 Internet 安全区域的设置以阻止 ActiveX 控件和活动脚本，可帮助防止利用此漏洞。通过将浏览器的安全级别设置为“高”可以达到上述目的。

  要提高 Internet Explorer 中的浏览安全级别，请按照以下步骤进行操作：

  1. 在 Internet Explorer 的“工具”菜单上，单击“Internet 选项”。
  2. 在“Internet 选项”对话框中，单击“安全”选项卡，然后单击“Internet”图标。
  3. 在“该区域的安全级别”下，将滑块移至“高”。这将您访问的所有网站的安全级别均设置为“高”。

  注意 如果看不到滑块，请单击“默认级别”，然后再将滑块移至“高”。

  注意 将安全级别设置为“高”可能会导致某些网站无法正常工作。在更改此设置后，如果您在使用某个网站时遇到困难，但您确定该站点是安全的，则可以将该站点添加到受信任的站点列表中。在这种情况下，即使安全级别设置为“高”，此站点也可以正常工作。

  变通办法的影响。阻止 ActiveX 控件和活动脚本会带来负面影响。Internet 或 Intranet 上的许多网站都使用 ActiveX 或活动脚本来提供附加功能。例如，在线电子商务站点或银行站点可能使用 ActiveX 控件来提供菜单、订购单乃至帐户报表。阻止 ActiveX 控件或活动脚本是一个全局设置，它影响所有 Internet 和 Intranet 站点。如果不希望针对这些站点阻止 ActiveX 控件或活动脚本，请使用“将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域”中概述的步骤。

  将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域

  在 Internet 区域和本地 Intranet 区域中将 Internet Explorer 设置为阻止 ActiveX 控件和活动脚本之后，可以将受信任的站点添加到 Internet Explorer 的“受信任的站点”区域。这样，您就可以照常使用受信任的网站，同时又有助于防范非受信任站点上的此类攻击。我们建议您只将信任的站点添加到“受信任的站点”区域。

  为此，可执行以下步骤：

  1. 在 Internet Explorer 中，单击“工具”，单击“Internet 选项”，然后单击“安全”选项卡。
  2. 在标为“请为不同区域的 Web 内容指定安全设置”的框中，单击“受信任的站点”，然后单击“站点”。
  3. 如果您想要添加不需要加密频道的站点，请单击以清除“对该区域中的所有站点要求服务器验证 (https:)”复选框。
  4. 在“将该站点添加到区域中”框中，键入您信任的站点的 URL，然后单击“添加”。
  5. 对想添加到区域中的每一个站点重复这些步骤。
  6. 单击“确定”两次，接受更改并返回到 Internet Explorer。

  注意 添加您相信不会在您的系统上执行恶意操作的任何站点。特别是，您可能需要添加两个站点：*.windowsupdate.microsoft.com 和 *.update.microsoft.com。这些站点将提供此更新，需要使用 ActiveX 控件来安装更新。

• 将 Internet Explorer 配置为在 Internet 和本地 Intranet 安全区域中运行活动脚本或禁用活动脚本之前进行提示

  通过更改设置，以在 Internet 和本地 Intranet 安全区域中运行活动脚本或禁用活动脚本之前进行提示，可帮助防止利用此漏洞。为此，可执行以下步骤：

  1. 在 Internet Explorer 中，单击“工具”菜单上的“Internet 选项”。
  2. 单击“安全”选项卡。
  3. 单击“Internet”，然后单击“自定义级别”。
  4. 在“设置”下方，在“脚本”部分的“活动脚本”下方单击“提示 ”或“禁用”，然后单击“确定”。
  5. 单击“本地 Intranet”，然后单击“自定义级别”。
  6. 在“设置”下方，在“脚本”部分的“活动脚本”下方单击“提示 ”或“禁用”，然后单击“确定”。
  7. 单击“确定”两次返回到 Internet Explorer。

  注意 禁用 Internet 和本地 Intranet 安全区域中的活动脚本可能导致某些网站无法正常工作。在更改此设置后，如果您在使用某个网站时遇到困难，但您确定该站点是安全的，则可以将该站点添加到受信任的站点列表中。这将允许站点正常工作。

  变通办法的影响。 在运行活动脚本之前提示有负面影响。Internet 或 Intranet 上的许多网站都使用活动脚本来提供附加功能。例如，在线电子商务站点或银行站点可能使用活动脚本来提供菜单、订购单乃至帐户报表。在运行活动脚本之前进行提示是一个全局设置，它影响所有 Internet 和 Intranet 站点。在启用此变通方法后，将会频繁出现提示。对于每一提示，如果您认为信任您所访问的站点，则单击“是”运行活动脚本。如果您不想在访问所有这些网站时进行提示，请使用“将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域”中概述的步骤。

  将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域

  在将 Internet Explorer 设置为在 Internet 区域和本地 Intranet 区域运行 ActiveX 控件和活动脚本之前需要提示之后，可以将受信任的站点添加到 Internet Explorer 的“受信任的站点”区域。这样，您就可以照常使用受信任的网站，同时又有助于防范非受信任站点上的此类攻击。我们建议您只将信任的站点添加到“受信任的站点”区域。

  为此，可执行以下步骤：

  1. 在 Internet Explorer 中，单击“工具”，单击“Internet 选项”，然后单击“安全”选项卡。
  2. 在标为“请为不同区域的 Web 内容指定安全设置”的框中，单击“受信任的站点”，然后单击“站点”。
  3. 如果您想要添加不需要加密频道的站点，请单击以清除“对该区域中的所有站点要求服务器验证 (https:)”复选框。
  4. 在“将该站点添加到区域中”框中，键入您信任的站点的 URL，然后单击“添加”。
  5. 对想添加到区域中的每一个站点重复这些步骤。
  6. 单击“确定”两次，接受更改并返回到 Internet Explorer。

  注意 添加您相信不会在您的系统上执行恶意操作的任何站点。特别是，您可能需要添加两个站点：*.windowsupdate.microsoft.com 和 *.update.microsoft.com。这些站点将提供此更新，需要使用 ActiveX 控件来安装更新。

此漏洞的影响范围有多大？ 
这是一个信息泄露漏洞。在用户查看使用 tostaticHTML API 的网页时，利用该漏洞的攻击者可能会干扰用户的跨站点脚本执行。

造成此漏洞的原因是什么？ 
Internet Explorer 在清理 HTML 时处理使用特定字符串的方式中存在漏洞。

什么是 toStaticHTML API？ 
toStaticHTML API 可用于在将用户输入显示为 HTML 之前从中删除事件属性和脚本。有关详细信息，请参阅下列 MSDN 库文章 toStaticHTML 方法。

攻击者可能利用此漏洞执行什么操作？ 
当用户在未由 Internet Explorer 正确清理的网站上查看 HTML 时，成功利用此漏洞的攻击者可以在用户的安全上下文中对站点执行脚本。

攻击者如何利用此漏洞？ 
攻击者可能拥有一个旨在通过 Internet Explorer 利用此漏洞的特制网站，然后诱使用户查看该网站。攻击者还可能利用受到破坏的网站以及接受或宿主用户提供的内容或广告的网站。这些网站可能包含可以利用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户查看由攻击者控制的内容。相反，攻击者必须说服用户采取行动，通常是单击电子邮件或即时消息中的链接（该链接会将用户定向到攻击者的网站），或者打开通过电子邮件发送的附件。

受此漏洞威胁最大的系统有哪些？ 
要利用此漏洞执行任何恶意操作，需要用户登录并访问网站。因此，任何频繁使用 Internet Explorer 的系统（如工作站或终端服务器）受此漏洞的威胁最大。

此更新有什么作用？ 
更新修改 Internet Explorer 处理使用 toStaticHTML 进行 HTML 清理的方式。

此漏洞是否与 MS10-039 中的 CVE-2010-1257“Microsoft SharePoint 中的漏洞可能允许特权提升 (2028554)”有关？ 
是的，toStaticHTML 信息泄露漏洞 CVE-2010-1257 也影响 Microsoft SharePoint。

是否需要安装两个更新以免遭漏洞的攻击？ 
不，每个更新都针对单独的应用程序。只需应用与您的系统运行的软件对应的更新。

发布此安全公告时，此漏洞是否已公开披露？ 
否。Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？ 
否。在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。以下缓解因素在您遇到的情形中可能会有所帮助：

• 在基于 Web 的攻击情形中，攻击者可能拥有一个网站，并在上面放置用来利用此漏洞的网页。另外，接受或宿主用户提供的内容或广告的网站以及受到破坏的网站可能包含可能利用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户访问这些网站。相反，攻击者必须诱使用户访问该网站，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接以使用户链接到攻击者的网站。
• 成功利用此漏洞的攻击者可以获得与本地用户相同的用户权限。那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。
• 默认情况下，Microsoft Outlook、Microsoft Outlook Express 和 Windows Mail 的所有支持版本在受限制的站点区域打开 HTML 电子邮件信息（会禁用脚本和 ActiveX 控件），同时删除可利用此漏洞的攻击者执行恶意代码的风险。在基于 Web 的攻击情形中，如果用户单击电子邮件中的链接，他们可能仍然容易受到利用此漏洞的影响。
• 默认情况下，Windows Server 2003 和 Windows Server 2008 上的 Internet Explorer 在一种称为“增强安全配置”的受限模式下运行。此模式会将 Internet 区域的安全级别设置为“高”。此缓解因素适用于未被添加到 Internet Explorer“受信任的站点”区域的网站。有关 Internet Explorer 增强安全配置的详细信息，请参阅此漏洞的“常见问题”部分。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 启用或禁用 Office 2007 中的 ActiveX 控件

  要减少通过使用 ActiveX 控件的 Office 2007 文档利用此漏洞的可能性，请执行以下步骤以禁用 Office 文档中的 ActiveX 控件。有关禁用 Office 2007 中的 ActiveX 控件的详细信息，请参阅 Microsoft Office Online 文章启用或禁用 Office 文档中的 ActiveX 控件。

  使用以下方法之一在 Office 2007 应用程序中打开信任中心。在选择“ActiveX 设置”之后，选择“禁用所有控件，并且不通知”，然后单击“确定”。

  注意 如果你在一个 Office 应用程序中更改某个 ActiveX 控件设置，该设置在计算机上的所有其他 Office 程序中也将更改。

  Excel

  单击“Microsoft Office”按钮，依次选择“Excel 选项”、“信任中心”、“信任中心设置”，然后选择“ActiveX 设置”。

  Outlook

  从“工具 ”菜单中，选择“信任中心”，选择“信任中心设置”，然后选择“ActiveX 设置”。

  PowerPoint

  单击“Microsoft Office”按钮，选择“PowerPoint 选项”，选择“信任中心”，选择“信任中心设置”，然后选择“ActiveX 设置”。

  Word

  单击“Microsoft Office”按钮，选择“Word 选项”，选择“信任中心”，选择“信任中心设置”，然后选择“ActiveX 设置”。

  Access

  单击“Microsoft Office”按钮，选择“Access 选项”，选择“信任中心”，选择“信任中心设置”，然后选择“ActiveX 设置”。

  InfoPath

  从“工具 ”菜单中，选择“信任中心”，选择“信任中心设置”，然后选择“ActiveX 设置”。

  Publisher

  从“工具 ”菜单中，选择“信任中心”，选择“信任中心设置”，然后选择“ActiveX 设置”。

  Visio

  从“工具 ”菜单中，选择“信任中心”，选择“信任中心设置”，然后选择“ActiveX 设置”。

  变通办法的影响。Microsoft Office 应用程序中无法实例化 ActiveX 控件。

• 将 Internet 和本地 Intranet 安全区域设置设为“高”，以便在这些区域中阻止 ActiveX 控件和活动脚本

  通过更改 Internet 安全区域的设置以阻止 ActiveX 控件和活动脚本，可帮助防止利用此漏洞。通过将浏览器的安全级别设置为“高”可以达到上述目的。

  要提高 Internet Explorer 中的浏览安全级别，请按照以下步骤进行操作：

  1. 在 Internet Explorer 的“工具”菜单上，单击“Internet 选项”。
  2. 在“Internet 选项”对话框中，单击“安全”选项卡，然后单击“Internet”图标。
  3. 在“该区域的安全级别”下，将滑块移至“高”。这将您访问的所有网站的安全级别均设置为“高”。

  注意 如果看不到滑块，请单击“默认级别”，然后再将滑块移至“高”。

  注意 将安全级别设置为“高”可能会导致某些网站无法正常工作。在更改此设置后，如果您在使用某个网站时遇到困难，但您确定该站点是安全的，则可以将该站点添加到受信任的站点列表中。在这种情况下，即使安全级别设置为“高”，此站点也可以正常工作。

  变通办法的影响。阻止 ActiveX 控件和活动脚本会带来负面影响。Internet 或 Intranet 上的许多网站都使用 ActiveX 或活动脚本来提供附加功能。例如，在线电子商务站点或银行站点可能使用 ActiveX 控件来提供菜单、订购单乃至帐户报表。阻止 ActiveX 控件或活动脚本是一个全局设置，它影响所有 Internet 和 Intranet 站点。如果不希望针对这些站点阻止 ActiveX 控件或活动脚本，请使用“将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域”中概述的步骤。

  将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域

  在 Internet 区域和本地 Intranet 区域中将 Internet Explorer 设置为阻止 ActiveX 控件和活动脚本之后，可以将受信任的站点添加到 Internet Explorer 的“受信任的站点”区域。这样，您就可以照常使用受信任的网站，同时又有助于防范非受信任站点上的此类攻击。我们建议您只将信任的站点添加到“受信任的站点”区域。

  为此，可执行以下步骤：

  1. 在 Internet Explorer 中，单击“工具”，单击“Internet 选项”，然后单击“安全”选项卡。
  2. 在标为“请为不同区域的 Web 内容指定安全设置”的框中，单击“受信任的站点”，然后单击“站点”。
  3. 如果您想要添加不需要加密频道的站点，请单击以清除“对该区域中的所有站点要求服务器验证 (https:)”复选框。
  4. 在“将该站点添加到区域中”框中，键入您信任的站点的 URL，然后单击“添加”。
  5. 对想添加到区域中的每一个站点重复这些步骤。
  6. 单击“确定”两次，接受更改并返回到 Internet Explorer。

  注意 添加您相信不会在您的系统上执行恶意操作的任何站点。特别是，您可能需要添加两个站点：*.windowsupdate.microsoft.com 和 *.update.microsoft.com。这些站点将提供此更新，需要使用 ActiveX 控件来安装更新。

• 将 Internet Explorer 配置为在 Internet 和本地 Intranet 安全区域中运行活动脚本或禁用活动脚本之前进行提示

  通过更改设置，以在 Internet 和本地 Intranet 安全区域中运行活动脚本或禁用活动脚本之前进行提示，可帮助防止利用此漏洞。为此，可执行以下步骤：

  1. 在 Internet Explorer 中，单击“工具”菜单上的“Internet 选项”。
  2. 单击“安全”选项卡。
  3. 单击“Internet”，然后单击“自定义级别”。
  4. 在“设置”下方，在“脚本”部分的“活动脚本”下方单击“提示 ”或“禁用”，然后单击“确定”。
  5. 单击“本地 Intranet”，然后单击“自定义级别”。
  6. 在“设置”下方，在“脚本”部分的“活动脚本”下方单击“提示 ”或“禁用”，然后单击“确定”。
  7. 单击“确定”两次返回到 Internet Explorer。

  注意 禁用 Internet 和本地 Intranet 安全区域中的活动脚本可能导致某些网站无法正常工作。在更改此设置后，如果您在使用某个网站时遇到困难，但您确定该站点是安全的，则可以将该站点添加到受信任的站点列表中。这将允许站点正常工作。

  变通办法的影响。 在运行活动脚本之前提示有负面影响。Internet 或 Intranet 上的许多网站都使用活动脚本来提供附加功能。例如，在线电子商务站点或银行站点可能使用活动脚本来提供菜单、订购单乃至帐户报表。在运行活动脚本之前进行提示是一个全局设置，它影响所有 Internet 和 Intranet 站点。在启用此变通方法后，将会频繁出现提示。对于每一提示，如果您认为信任您所访问的站点，则单击“是”运行活动脚本。如果您不想在访问所有这些网站时进行提示，请使用“将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域”中概述的步骤。

  将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域

  在将 Internet Explorer 设置为在 Internet 区域和本地 Intranet 区域运行 ActiveX 控件和活动脚本之前需要提示之后，可以将受信任的站点添加到 Internet Explorer 的“受信任的站点”区域。这样，您就可以照常使用受信任的网站，同时又有助于防范非受信任站点上的此类攻击。我们建议您只将信任的站点添加到“受信任的站点”区域。

  为此，可执行以下步骤：

  1. 在 Internet Explorer 中，单击“工具”，单击“Internet 选项”，然后单击“安全”选项卡。
  2. 在标为“请为不同区域的 Web 内容指定安全设置”的框中，单击“受信任的站点”，然后单击“站点”。
  3. 如果您想要添加不需要加密频道的站点，请单击以清除“对该区域中的所有站点要求服务器验证 (https:)”复选框。
  4. 在“将该站点添加到区域中”框中，键入您信任的站点的 URL，然后单击“添加”。
  5. 对想添加到区域中的每一个站点重复这些步骤。
  6. 单击“确定”两次，接受更改并返回到 Internet Explorer。

  注意 添加您相信不会在您的系统上执行恶意操作的任何站点。特别是，您可能需要添加两个站点：*.windowsupdate.microsoft.com 和 *.update.microsoft.com。这些站点将提供此更新，需要使用 ActiveX 控件来安装更新。

• 不要打开意外文件

  不要打开从不受信任来源或从受信任来源意外收到的 Microsoft Office 文件。当用户打开特制文件时，攻击者可能会利用此漏洞。

此漏洞的影响范围有多大？ 
这是一个远程执行代码漏洞。成功利用此漏洞的攻击者可以获得与登录用户相同的用户权限。那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。

造成此漏洞的原因是什么？ 
当 Internet Explorer 尝试访问未初始化或已删除的对象时，攻击者可以在登录用户的上下文中执行任意代码，从而可能破坏内存。

攻击者可能利用此漏洞执行什么操作？ 
成功利用此漏洞的攻击者可以获得与登录用户相同的用户权限。如果用户使用管理用户权限登录，成功利用此漏洞的攻击者便可完全控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

攻击者如何利用此漏洞？ 
攻击者可能拥有一个旨在通过 Internet Explorer 利用此漏洞的特制网站，然后诱使用户查看该网站。攻击者也可能在宿主 IE 呈现引擎的应用程序或 Microsoft Office 文档中嵌入标有“安全初始化”的 ActiveX 控件。攻击者还可能利用受到破坏的网站以及接受或宿主用户提供的内容或广告的网站。这些网站可能包含可以利用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户查看由攻击者控制的内容。相反，攻击者必须说服用户采取行动，通常是单击电子邮件或即时消息中的链接（该链接会将用户定向到攻击者的网站），或者打开通过电子邮件发送的附件。

受此漏洞威胁最大的系统有哪些？ 
要利用此漏洞执行任何恶意操作，需要用户登录并访问网站。因此，任何频繁使用 Internet Explorer 的系统（如工作站或终端服务器）受此漏洞的威胁最大。

我当前是在 Windows Server 2003 或 Windows Server 2008 上运行 Internet Explorer，这是否可以减轻此漏洞的影响？ 
是。默认情况下，Windows Server 2003 和 Windows Server 2008 上的 Internet Explorer 在一种称为“增强安全配置”的受限模式下运行。增强安全配置是一组预先配置好的 Internet Explorer 设置，可以减小用户或管理员在服务器上下载并运行特制 Web 内容的可能性。此缓解因素适用于未被添加到 Internet Explorer“受信任的站点”区域的网站。另请参阅管理 Internet Explorer 增强安全配置。

此更新有什么作用？ 
此更新通过修改 Internet Explorer 处理内存中对象的方式来消除此漏洞。

发布此安全公告时，此漏洞是否已公开披露？ 
否。Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？ 
否。在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。以下缓解因素在您遇到的情形中可能会有所帮助：

• 在基于 Web 的攻击情形中，攻击者可能拥有一个网站，并在上面放置用来利用此漏洞的网页。另外，接受或宿主用户提供的内容或广告的网站以及受到破坏的网站可能包含可能利用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户访问这些网站。相反，攻击者必须诱使用户访问该网站，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接以使用户链接到攻击者的网站。
• 成功利用此漏洞的攻击者可以获得与本地用户相同的用户权限。那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。
• 要利用此漏洞，需要进行用户交互。用户必须按 F12 键回应特制网站中的提示。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 禁用 IEDTViewSource 组件

  禁用 IEDTViewSource 组件以阻止通过 IE DevTool 查看网页来源。

  通过从提升命令提示符处运行下列命令来创建注册表项的备份副本：

  Regedit.exe /e Disable_DT_ViewSource_backup.reg HKEY_CLASSES_ROOT\CLSID\{8fe85d00-4647-40b9-87e4-5eb8a52f4759}

  对于 Windows Vista、Windows Server 2008、Windows 7 和 Windows Server 2008 R2，取得 [HKEY_CLASSES_ROOT\CLSID\{8fe85d00-4647-40b9-87e4-5eb8a52f4759}] 的所有权，如下所示：

  1. 以管理员身份单击“开始”，单击“运行”，在“打开”框中键入 Regedit，然后单击“确定”
  2. 转到 [HKEY_CLASSES_ROOT\CLSID\{8fe85d00-4647-40b9-87e4-5eb8a52f4759}]。
  3. 依次单击“权限”、“高级”和“所有者”。
  4. 将“所有者 ”更改为“管理员”。
  5. 单击“授予管理员完全控制权限 ”。
  6. 然后对所有子项重复以上操作。

  接下来，将下列内容保存到扩展名为 .REG 的文件，例如 Disable_DT_ViewSource.reg：

  Windows Registry Editor Version 5.00[-HKEY_CLASSES_ROOT\CLSID\{8fe85d00-4647-40b9-87e4-5eb8a52f4759}]

  从提升命令提示符处使用下列命令运行 Disable_DT_ViewSource.reg：

  Regedit.exe /s Disable_DT_ViewSource.reg

  变通办法的影响。用于查看来源的 IE DevTool 功能将不起作用。相反，Internet Explorer 用记事本查看来源。

  如何撤消变通办法。通过从提升命令提示符处运行下列命令来还原原始状态：

  Regedit.exe /s Disable_DT_ViewSource_backup.reg

此漏洞的影响范围有多大？ 
这是一个远程执行代码漏洞。成功利用此漏洞的攻击者可以获得与登录用户相同的用户权限。那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。

造成此漏洞的原因是什么？ 
Internet Explorer 在特定情况下尝试访问初始化不正确的内存时可能损坏内存，从而导致攻击者能够以已登录用户的身份执行任意代码。

攻击者可能利用此漏洞执行什么操作？ 
成功利用此漏洞的攻击者可以获得与登录用户相同的用户权限。如果用户使用管理用户权限登录，成功利用此漏洞的攻击者便可完全控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

攻击者如何利用此漏洞？ 
攻击者可能拥有一个旨在通过 Internet Explorer 利用此漏洞的特制网站，然后诱使用户查看该网站并打开 IE8 开发工具栏。攻击者还可能利用受到破坏的网站以及接受或宿主用户提供的内容或广告的网站。这些网站可能包含可以利用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户查看由攻击者控制的内容。相反，攻击者必须说服用户采取行动，通常是单击电子邮件或即时消息中的链接（该链接会将用户定向到攻击者的网站），或者打开通过电子邮件发送的附件。

我使用 Internet Explorer 7 开发工具。我是否受此问题影响？ 
Internet Explorer 7 开发工具已更新，以避免此问题。可从 Microsoft 下载中心 Internet Explorer 开发工具栏获得更新的工具栏。

受此漏洞威胁最大的系统有哪些？ 
要利用此漏洞执行任何恶意操作，需要用户登录并访问网站。因此，任何频繁使用 Internet Explorer 的系统（如工作站或终端服务器）受此漏洞的威胁最大。

此更新有什么作用？ 
此更新修改 Internet Explorer 处理内存中对象的方式。

发布此安全公告时，此漏洞是否已公开披露？ 
否。Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？ 
否。在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。以下缓解因素在您遇到的情形中可能会有所帮助：

• 在基于 Web 的攻击情形中，攻击者可能拥有一个网站，并在上面放置用来利用此漏洞的网页。另外，接受或宿主用户提供的内容或广告的网站以及受到破坏的网站可能包含可能利用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户访问这些网站。相反，攻击者必须诱使用户访问该网站，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接以使用户链接到攻击者的网站。
• 成功利用此漏洞的攻击者可以获得与本地用户相同的用户权限。那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。
• 要利用此漏洞，需要进行用户交互。用户必须按 F12 键回应特制网站中的提示。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 禁用 IEDTExplorer 组件

  禁用 IEDTExplorer 组件以阻止通过 IE DevTool 查看网页来源。

  通过从提升命令提示符处运行下列命令来创建注册表项的备份副本：

  Regedit.exe /e Disable_DT_Explorer_backup.reg HKEY_CLASSES_ROOT\CLSID\{1a6fe369-f28c-4ad9-a3e6-2bcb50807cf1}

  对于 Windows Vista、Windows Server 2008、Windows 7 和 Windows Server 2008 R2，取得 [HKEY_CLASSES_ROOT\CLSID\{1a6fe369-f28c-4ad9-a3e6-2bcb50807cf1}] 的所有权，如下所示：

  1. 以管理员身份单击“开始”，单击“运行”，在“打开”框中键入 Regedit，然后单击“确定”
  2. 转到 [HKEY_CLASSES_ROOT\CLSID\{1a6fe369-f28c-4ad9-a3e6-2bcb50807cf1}]
  3. 依次单击“权限”、“高级”和“所有者”。
  4. 将“所有者”更改为“管理员”
  5. 单击“授予管理员完全控制权限 ”。
  6. 然后对所有子项重复以上操作。

  接下来，将下列内容保存到扩展名为 .REG 的文件，例如 Disable_DT_Explorer.reg：

  Windows Registry Editor Version 5.00
[-HKEY_CLASSES_ROOT\CLSID\{1a6fe369-f28c-4ad9-a3e6-2bcb50807cf1}]

  从提升命令提示符处使用下列命令运行 Disable_DT_Explorer.reg：

  Regedit.exe /s Disable_DT_Explorer.reg

  变通办法的影响。IE DevTool Explorer 功能键 F12 将不起作用。

  如何撤消变通方法。通过从提升命令提示符处运行下列命令来还原原始状态：

  Regedit.exe /s Disable_DT_Explorer_backup.reg

此漏洞的影响范围有多大？ 
这是一个远程执行代码漏洞。成功利用此漏洞的攻击者可以获得与登录用户相同的用户权限。那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。

造成此漏洞的原因是什么？ 
Internet Explorer 在特定情况下尝试访问初始化不正确的内存时可能损坏内存，从而导致攻击者能够以已登录用户的身份执行任意代码。

攻击者可能利用此漏洞执行什么操作？ 
成功利用此漏洞的攻击者可以获得与登录用户相同的用户权限。如果用户使用管理用户权限登录，成功利用此漏洞的攻击者便可完全控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

攻击者如何利用此漏洞？ 
攻击者可能拥有一个旨在通过 Internet Explorer 利用此漏洞的特制网站，然后诱使用户查看该网站并打开 IE8 开发工具栏。攻击者还可能利用受到破坏的网站以及接受或宿主用户提供的内容或广告的网站。这些网站可能包含可以利用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户查看由攻击者控制的内容。相反，攻击者必须说服用户采取行动，通常是单击电子邮件或即时消息中的链接（该链接会将用户定向到攻击者的网站），或者打开通过电子邮件发送的附件。

受此漏洞威胁最大的系统有哪些？ 
要利用此漏洞执行任何恶意操作，需要用户登录并访问网站。因此，任何频繁使用 Internet Explorer 的系统（如工作站或终端服务器）受此漏洞的威胁最大。

此更新有什么作用？ 
此更新修改 Internet Explorer 处理内存中对象的方式。

发布此安全公告时，此漏洞是否已公开披露？ 
否。Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？ 
否。在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。以下缓解因素在您遇到的情形中可能会有所帮助：

• 在基于 Web 的攻击情形中，攻击者可能拥有一个网站，并在上面放置用来利用此漏洞的网页。另外，接受或宿主用户提供的内容或广告的网站以及受到破坏的网站可能包含可能利用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户访问这些网站。相反，攻击者必须诱使用户访问该网站，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接以使用户链接到攻击者的网站。
• 成功利用此漏洞的攻击者可以获得与本地用户相同的用户权限。那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。
• 默认情况下，Microsoft Outlook、Microsoft Outlook Express 和 Windows Mail 的所有支持版本在受限制的站点区域打开 HTML 电子邮件信息（会禁用脚本和 ActiveX 控件），同时删除可利用此漏洞的攻击者执行恶意代码的风险。在基于 Web 的攻击情形中，如果用户单击电子邮件中的链接，他们可能仍然容易受到利用此漏洞的影响。
• 默认情况下，Windows Server 2003 和 Windows Server 2008 上的 Internet Explorer 在一种称为“增强安全配置”的受限模式下运行。此模式会将 Internet 区域的安全级别设置为“高”。此缓解因素适用于未被添加到 Internet Explorer“受信任的站点”区域的网站。有关 Internet Explorer 增强安全配置的详细信息，请参阅此漏洞的“常见问题”部分。

变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：

• 启用或禁用 Office 2007 中的 ActiveX 控件

  要减少通过使用 ActiveX 控件的 Office 2007 文档利用此漏洞的可能性，请执行以下步骤以禁用 Office 文档中的 ActiveX 控件。有关禁用 Office 2007 中的 ActiveX 控件的详细信息，请参阅 Microsoft Office Online 文章启用或禁用 Office 文档中的 ActiveX 控件。

  使用以下方法之一在 Office 2007 应用程序中打开信任中心。在选择“ActiveX 设置”之后，选择“禁用所有控件，并且不通知”，然后单击“确定”。

  注意 如果你在一个 Office 应用程序中更改某个 ActiveX 控件设置，该设置在计算机上的所有其他 Office 程序中也将更改。

  Excel

  单击“Microsoft Office”按钮，依次选择“Excel 选项”、“信任中心”、“信任中心设置”，然后选择“ActiveX 设置”。

  Outlook

  从“工具 ”菜单中，选择“信任中心”，选择“信任中心设置”，然后选择“ActiveX 设置”。

  PowerPoint

  单击“Microsoft Office”按钮，选择“PowerPoint 选项”，选择“信任中心”，选择“信任中心设置”，然后选择“ActiveX 设置”。

  Word

  单击“Microsoft Office”按钮，选择“Word 选项”，选择“信任中心”，选择“信任中心设置”，然后选择“ActiveX 设置”。

  Access

  单击“Microsoft Office”按钮，选择“Access 选项”，选择“信任中心”，选择“信任中心设置”，然后选择“ActiveX 设置”。

  InfoPath

  从“工具 ”菜单中，选择“信任中心”，选择“信任中心设置”，然后选择“ActiveX 设置”。

  Publisher

  从“工具 ”菜单中，选择“信任中心”，选择“信任中心设置”，然后选择“ActiveX 设置”。

  Visio

  从“工具 ”菜单中，选择“信任中心”，选择“信任中心设置”，然后选择“ActiveX 设置”。

  变通办法的影响。Microsoft Office 应用程序中无法实例化 ActiveX 控件。

• 将 Internet 和本地 Intranet 安全区域设置设为“高”，以便在这些区域中阻止 ActiveX 控件和活动脚本

  通过更改 Internet 安全区域的设置以阻止 ActiveX 控件和活动脚本，可帮助防止利用此漏洞。通过将浏览器的安全级别设置为“高”可以达到上述目的。

  要提高 Internet Explorer 中的浏览安全级别，请按照以下步骤进行操作：

  1. 在 Internet Explorer 的“工具”菜单上，单击“Internet 选项”。
  2. 在“Internet 选项”对话框中，单击“安全”选项卡，然后单击“Internet”图标。
  3. 在“该区域的安全级别”下，将滑块移至“高”。这将您访问的所有网站的安全级别均设置为“高”。

  注意 如果看不到滑块，请单击“默认级别”，然后再将滑块移至“高”。

  注意 将安全级别设置为“高”可能会导致某些网站无法正常工作。在更改此设置后，如果您在使用某个网站时遇到困难，但您确定该站点是安全的，则可以将该站点添加到受信任的站点列表中。在这种情况下，即使安全级别设置为“高”，此站点也可以正常工作。

  变通办法的影响。阻止 ActiveX 控件和活动脚本会带来负面影响。Internet 或 Intranet 上的许多网站都使用 ActiveX 或活动脚本来提供附加功能。例如，在线电子商务站点或银行站点可能使用 ActiveX 控件来提供菜单、订购单乃至帐户报表。阻止 ActiveX 控件或活动脚本是一个全局设置，它影响所有 Internet 和 Intranet 站点。如果不希望针对这些站点阻止 ActiveX 控件或活动脚本，请使用“将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域”中概述的步骤。

  将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域

  在 Internet 区域和本地 Intranet 区域中将 Internet Explorer 设置为阻止 ActiveX 控件和活动脚本之后，可以将受信任的站点添加到 Internet Explorer 的“受信任的站点”区域。这样，您就可以照常使用受信任的网站，同时又有助于防范非受信任站点上的此类攻击。我们建议您只将信任的站点添加到“受信任的站点”区域。

  为此，可执行以下步骤：

  1. 在 Internet Explorer 中，单击“工具”，单击“Internet 选项”，然后单击“安全”选项卡。
  2. 在标为“请为不同区域的 Web 内容指定安全设置”的框中，单击“受信任的站点”，然后单击“站点”。
  3. 如果您想要添加不需要加密频道的站点，请单击以清除“对该区域中的所有站点要求服务器验证 (https:)”复选框。
  4. 在“将该站点添加到区域中”框中，键入您信任的站点的 URL，然后单击“添加”。
  5. 对想添加到区域中的每一个站点重复这些步骤。
  6. 单击“确定”两次，接受更改并返回到 Internet Explorer。

  注意 添加您相信不会在您的系统上执行恶意操作的任何站点。特别是，您可能需要添加两个站点：*.windowsupdate.microsoft.com 和 *.update.microsoft.com。这些站点将提供此更新，需要使用 ActiveX 控件来安装更新。

• 将 Internet Explorer 配置为在 Internet 和本地 Intranet 安全区域中运行活动脚本或禁用活动脚本之前进行提示

  通过更改设置，以在 Internet 和本地 Intranet 安全区域中运行活动脚本或禁用活动脚本之前进行提示，可帮助防止利用此漏洞。为此，可执行以下步骤：

  1. 在 Internet Explorer 中，单击“工具”菜单上的“Internet 选项”。
  2. 单击“安全”选项卡。
  3. 单击“Internet”，然后单击“自定义级别”。
  4. 在“设置”下方，在“脚本”部分的“活动脚本”下方单击“提示 ”或“禁用”，然后单击“确定”。
  5. 单击“本地 Intranet”，然后单击“自定义级别”。
  6. 在“设置”下方，在“脚本”部分的“活动脚本”下方单击“提示 ”或“禁用”，然后单击“确定”。
  7. 单击“确定”两次返回到 Internet Explorer。

  注意 禁用 Internet 和本地 Intranet 安全区域中的活动脚本可能导致某些网站无法正常工作。在更改此设置后，如果您在使用某个网站时遇到困难，但您确定该站点是安全的，则可以将该站点添加到受信任的站点列表中。这将允许站点正常工作。

  变通办法的影响。 在运行活动脚本之前提示有负面影响。Internet 或 Intranet 上的许多网站都使用活动脚本来提供附加功能。例如，在线电子商务站点或银行站点可能使用活动脚本来提供菜单、订购单乃至帐户报表。在运行活动脚本之前进行提示是一个全局设置，它影响所有 Internet 和 Intranet 站点。在启用此变通方法后，将会频繁出现提示。对于每一提示，如果您认为信任您所访问的站点，则单击“是”运行活动脚本。如果您不想在访问所有这些网站时进行提示，请使用“将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域”中概述的步骤。

  将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域

  在将 Internet Explorer 设置为在 Internet 区域和本地 Intranet 区域运行 ActiveX 控件和活动脚本之前需要提示之后，可以将受信任的站点添加到 Internet Explorer 的“受信任的站点”区域。这样，您就可以照常使用受信任的网站，同时又有助于防范非受信任站点上的此类攻击。我们建议您只将信任的站点添加到“受信任的站点”区域。

  为此，可执行以下步骤：

  1. 在 Internet Explorer 中，单击“工具”，单击“Internet 选项”，然后单击“安全”选项卡。
  2. 在标为“请为不同区域的 Web 内容指定安全设置”的框中，单击“受信任的站点”，然后单击“站点”。
  3. 如果您想要添加不需要加密频道的站点，请单击以清除“对该区域中的所有站点要求服务器验证 (https:)”复选框。
  4. 在“将该站点添加到区域中”框中，键入您信任的站点的 URL，然后单击“添加”。
  5. 对想添加到区域中的每一个站点重复这些步骤。
  6. 单击“确定”两次，接受更改并返回到 Internet Explorer。

  注意 添加您相信不会在您的系统上执行恶意操作的任何站点。特别是，您可能需要添加两个站点：*.windowsupdate.microsoft.com 和 *.update.microsoft.com。这些站点将提供此更新，需要使用 ActiveX 控件来安装更新。

• 不要打开意外文件

  不要打开从不受信任来源或从受信任来源意外收到的 Microsoft Office 文件。当用户打开特制文件时，攻击者可能会利用此漏洞。

此漏洞的影响范围有多大？ 
这是一个远程执行代码漏洞。成功利用此漏洞的攻击者可以获得与登录用户相同的用户权限。那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。

造成此漏洞的原因是什么？ 
Internet Explorer 在特定情况下尝试访问初始化不正确的内存时可能损坏内存，从而导致攻击者能够以已登录用户的身份执行任意代码。

攻击者可能利用此漏洞执行什么操作？ 
成功利用此漏洞的攻击者可以获得与登录用户相同的用户权限。如果用户使用管理用户权限登录，成功利用此漏洞的攻击者便可完全控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

攻击者如何利用此漏洞？ 
攻击者可能拥有一个旨在通过 Internet Explorer 利用此漏洞的特制网站，然后诱使用户查看该网站。攻击者也可能在宿主 IE 呈现引擎的应用程序或 Microsoft Office 文档中嵌入标有“安全初始化”的 ActiveX 控件。攻击者还可能利用受到破坏的网站以及接受或宿主用户提供的内容或广告的网站。这些网站可能包含可以利用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户查看由攻击者控制的内容。相反，攻击者必须说服用户采取行动，通常是单击电子邮件或即时消息中的链接（该链接会将用户定向到攻击者的网站），或者打开通过电子邮件发送的附件。

受此漏洞威胁最大的系统有哪些？ 
要利用此漏洞执行任何恶意操作，需要用户登录并访问网站。因此，任何频繁使用 Internet Explorer 的系统（如工作站或终端服务器）受此漏洞的威胁最大。

我当前是在 Windows Server 2003 或 Windows Server 2008 上运行 Internet Explorer，这是否可以减轻此漏洞的影响？ 
是。默认情况下，Windows Server 2003 和 Windows Server 2008 上的 Internet Explorer 在一种称为“增强安全配置”的受限模式下运行。增强安全配置是一组预先配置好的 Internet Explorer 设置，可以减小用户或管理员在服务器上下载并运行特制 Web 内容的可能性。此缓解因素适用于未被添加到 Internet Explorer“受信任的站点”区域的网站。另请参阅管理 Internet Explorer 增强安全配置。

此更新有什么作用？ 
此更新修改 Internet Explorer 处理内存中对象的方式。

发布此安全公告时，此漏洞是否已公开披露？ 
否。Microsoft 通过可靠的披露渠道了解到有关此漏洞的信息。

发布此安全公告时，Microsoft 是否收到任何有关此漏洞已被利用的报告？ 
否。在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已被公开用于攻击客户的信息，也没有看到任何发布的概念代码证明示例。

参考表

下表包含此软件的安全更新信息。您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。您可以在本节的“部署信息”小节中找到更多信息。

注意 对于受支持版本 Windows XP Professional x64 Edition，此安全更新与受支持版本 Windows Server 2003 x64 Edition 的安全更新相同。

参考表

下表包含此软件的安全更新信息。您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。您可以在本节的“部署信息”小节中找到更多信息。

参考表

下表包含此软件的安全更新信息。您可以在本节的“部署信息”小节中找到更多信息。