Microsoft 安全公告 MS10-036 - 重要

我安装了不容易受到攻击的软件版本，为什么仍向我提供此更新？  
一些不受影响的软件（包括用于 Word、Excel 和 PowerPoint 2007 文件格式的 Microsoft Office 兼容包、Microsoft Office Word Viewer、Microsoft Office Excel Viewer、Microsoft Office PowerPoint Viewer 2007 和 Visual Studio 2008）包含容易受到攻击的共享 Office 组件，但是它们不会访问容易受到攻击的代码，因此不受此漏洞的影响。 但是，由于存在容易受到攻击的代码，仍会提供此更新。

为不容易受攻击的软件版本提供更新是否表明 Microsoft 更新机制存在问题？  
否，更新机制工作正常，因为它可在系统上检测到低于更新程序包中版本的文件，并提供该更新。

在哪里可以找到文件信息详细资料？  
有关文件信息详细资料的位置，请参阅“安全更新部署”部分中的参考表。

既然 Microsoft Office XP 被列为受影响产品，为何 Microsoft 不为其发布更新？  
Microsoft Office XP 上没有可正确支持更正验证的修补程序的体系结构，因此不可能构建 Microsoft Office XP 产品的修补程序以消除该漏洞。 这样做将需要重新设计很大一部分 Microsoft Office XP 产品，而不仅仅是受影响的组件。 这样重新设计结构得到的产品可能导致与其他应用程序明显不兼容，无法保证这些 Microsoft Office 产品在更新的系统上会继续按预期操作。

Microsoft 为安装了 Office XP 的 Windows XP 系统的用户提供 Microsoft Fix it 解决方案。 虽然这不是 Office 产品本身的代码修复，但是 Microsoft Fix it 解决方案提供防止此公告中所述漏洞的类似保护。 虽然应用程序兼容性风险降到最低，但是 Microsoft 建议用户在广泛地分布它之前测试此 Microsoft Fix it 解决方案。 有关下载位置和其他详细信息，请参阅 Microsoft 知识库文章 983235。

组件更新是否还需要安装相关的 Microsoft Office 2003 或 2007 Microsoft Office System 更新？  
是的，此安全更新需要安装 Microsoft Office 2003 Service Pack 3 (KB982311) 或 2007 Microsoft Office System Service Pack 1 和 2007 Microsoft Office System Service Pack 2 (KB982312) 的更新，以及受影响软件表中列出的 Excel、Word、Visio、Publisher 或 PowerPoint 的相关更新，以避免此公告中描述的漏洞。

MS10-038 还描述了 Microsoft Office Excel 中的漏洞。 MS10-038 与此公告 (MS10-036) 有何关联？  
此公告 MS10-036 中的 Microsoft Office Excel 2003 (KB982133) 和 Microsoft Office Excel 2007 (KB982308) 安全更新包还解决了 MS10-038 中描述的漏洞。安装了Microsoft Office Excel 2003 或 Microsoft Office Excel 2007 的用户只需安装这些安全更新包一次。 用户还必须安装此公告中提供相关 Microsoft Office 更新（KB982311 或 KB982312），才能免遭此公告 MS10-036 中描述的漏洞的攻击。

此更新是否包含任何其他与安全性无关的功能更改？  
此更新包含与安全性无关的功能更改。 有关详细信息，请参阅 Microsoft 知识库文章 983632。

除了此公告的“漏洞信息”部分列出的更改之外，此更新还包含一个纵深防御更改。 此更新包含一种缓解措施，帮助防止使用 ATL 的易受攻击版本构建的组件和控件在此公告的“漏洞信息”部分列出的 Microsoft Office 产品中受攻击。 此更新监控器中提供了新的纵深防御保护，可帮助防止成功利用所有已知的公共和专用库 ATL 漏洞。

该缓解措施解决 Microsoft 安全通报 (973882) 和 MS09-035 中描述的 ATL 漏洞。该更改在默认情况下对所有受影响的平台启用，并将帮助防止 Microsoft Office 中加载的控件的 ATL 漏洞，包括不是由 Microsoft 创建的控件。

什么是纵深防御？  
在信息安全性中，纵深防御指的是采取多层防御来帮助阻止攻击者危及网络或系统安全的一种方法。

这篇文章中讨论的 Office 组件是我的系统上安装的 Office 套件的一部分；但是我没有选择安装所有特定组件。 我是否需要所有更新？  
是，如果您的系统上安装的 Office 套件的版本附带本公告中讨论的组件，无论是否安装各个组件，系统都将需要更新。 已设计用于扫描受影响系统的检测逻辑，以检查特定 Office 套件附带的所有组件的更新并为系统提供更新。 如果用户选择不对尚未安装但在 Office 套件版本中包括的组件应用更新，不会增加该系统的安全风险。 另一方面，选择安装更新的用户不会对系统的安全或性能产生负面影响。

为 Microsoft Office 的不容易受攻击的版本提供更新是否表明 Microsoft 更新机制存在问题？  
否，更新机制工作正常，因为它可在系统上检测到低于更新程序包中版本的文件，并提供该更新。

我正在使用本安全公告中讨论的软件的较旧版本。 我该怎么办？  
已对本公告中列出的受影响的软件进行测试，以确定受到影响的版本。 其他版本的支持生命周期已结束。 有关产品生命周期的详细信息，请访问 Microsoft 产品技术支持生命周期网站。

使用该软件的较旧版本的客户应优先考虑迁移到受支持的版本，以防止可能会受到新出现漏洞的影响。 要确定您的软件版本的技术支持生命周期，请参阅选择一项产品以获取生命周期信息。 有关这些软件版本的 Service Pack 的详细信息，请参阅生命周期支持的 Service Pack。

如果用户需要获得较旧软件的定制支持，则必须与其 Microsoft 客服小组代表、其技术客户经理或适当的 Microsoft 合作伙伴代表联系以了解定制支持选项。 没有联合合同、优先支持合同或授权合同的客户可与其当地的 Microsoft 销售分支机构联系。 有关联系信息，请访问 Microsoft Worldwide Information 网站，在联系信息列表中选择国家/地区，然后单击“Go”以查看电话号码列表。 在拨打电话时，请找当地的“企业技术咨询支持服务”销售经理进行洽谈。 有关详细信息，请参阅 Microsoft 技术支持生命周期策略常见问题。

以下严重等级假设漏洞的可能的最大影响。 有关此安全公告发布 30 天内，漏洞利用的安全等级和安全影响的可能性的信息，请参阅 6 月份公告摘要中的利用指数。 有关详细信息，请参阅 Microsoft 利用指数。

受影响的 Microsoft Office 软件验证 COM 对象实例化的方式中存在一个远程执行代码漏洞。 成功利用此漏洞的攻击者可以完全控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。 那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。

要在“常见漏洞和披露”列表中以标准条目查看此漏洞，请参阅 CVE-2010-1263。

管理需要部署到组织中的服务器、台式机和移动系统的软件和安全更新。 有关详细信息，请参阅 TechNet 更新管理中心。 Microsoft TechNet 安全网站提供了有关 Microsoft 产品安全的详细信息。

安全更新可从 Microsoft Update 和 Windows Update 获得。 Microsoft 下载中心也提供了安全更新。 通过输入关键字“安全更新”可以非常方便地找到些更新。

最后，可以从 Microsoft Update 目录下载安全更新。 Microsoft Update 目录提供通过 Windows Update 和 Microsoft Update 提供的内容的可搜索目录，包括安全更新、驱动程序和 Service Pack。 通过使用安全公告编号（例如“MS07-036”）进行搜索，您可以将所有适用的更新添加到您的篮（包括某个更新的不同语言），然后将其下载到您选择的文件夹。 有关 Microsoft Update 目录的详细信息，请参阅 Microsoft Update 目录常见问题。

注意 Microsoft 在 2009 年 8 月 1 日以后不再支持 Office Update 和 Office 更新清单工具。要继续获得 Microsoft Office 产品的最新更新，请使用 Microsoft Update。 有关详细信息，请参阅关于 Microsoft Office Update： 常见问题。

检测和部署指南

Microsoft 提供安全更新的检测和部署指南。 该指南包含可帮助 IT 专业人员了解如何使用各种工具检测和部署安全更新的建议和信息。 有关详细信息，请参阅 Microsoft 知识库文章 961747。

Microsoft Baseline Security Analyzer

管理员可使用 Microsoft Baseline Security Analyzer (MBSA)，在本地和远程系统中扫描缺少的安全更新和常见的安全配置错误。 有关 MBSA 的详细信息，请访问 Microsoft Baseline Security Analyzer。

下表提供此安全更新的 MBSA 检测摘要。

MBSA 的最新版本已发布： Microsoft Baseline Security Analyzer 2.1.1。有关详细信息，请参阅 Microsoft Baseline Security Analyzer 2.1。

注意 对于使用 MBSA 2.1.1、Microsoft Update 和 Windows Server Update Services 不支持的旧版软件的客户： 请访问 Microsoft Baseline Security Analyzer 并参考旧版产品支持部分，了解如何使用旧版工具创建全面的安全更新检测。

Windows Server Update Services

通过使用 Windows Server Update Services (WSUS)，管理员可以部署 Microsoft Windows 2000 操作系统和更高版本、Office XP 和更高版本、Exchange Server 2003 以及 SQL Server 2000 的最新关键更新和安全更新部署。有关如何使用 Windows Server Update Services 部署此安全更新的详细信息，请访问 Windows Server Update Services 网站。

Systems Management Server

下表提供此安全更新的 SMS 检测和部署摘要。

对于 SMS 2.0 和 SMS 2003，安全更新清单工具 (SUIT) 可以由 SMS 用来检测安全更新。 请参阅 Downloads for Systems Management Server 2.0。

对于 SMS 2003，SMS 可以使用 Microsoft 更新 SMS 2003 清单工具 (ITMU) 检测 Microsoft Update 提供的以及 Windows Server Update Services 支持的安全更新。 有关 SMS 2003 ITMU 的详细信息，请参阅 SMS 2003 Microsoft 更新清单工具。 有关 SMS 扫描工具的详细信息，请参阅 SMS 2003 软件更新扫描工具。 请参阅 Downloads for Systems Management Server 2003。

System Center Configuration Manager 2007 使用 WSUS 3.0 来检测更新。 有关 Configuration Manager 2007 软件更新管理的详细信息，请访问 System Center Configuration Manager 2007。

有关 SMS 的详细信息，请访问 SMS 网站。

有关详细信息，请参阅 Microsoft 知识库文章 910723： 每月检测和部署指南文章的摘要列表。

注意 如果您使用了管理安装点 (AIP) 来部署 Office XP 或 Office 2003，则在您更新了来自原始基准的 AIP 时，可能不能够使用 SMS 来部署此更新。 有关详细信息，请参阅本节中的 Office 管理安装点标题。

Office 管理安装点

如果从服务器位置安装了应用程序，则服务器的管理员必须利用管理更新对服务器位置进行更新，并将该更新部署到您的系统。

• 有关 Microsoft Office XP 的受支持版本，请参阅创建管理安装点。 有关如何将客户端系统的来源从更新的管理安装点更改为 Office XP 原始基线来源的详细信息，请参阅 Microsoft 知识库文章 922665。
  
  注意 如果计划从更新管理镜像集中管理软件更新，您可以在文章从修复管理镜像更新 Office XP 客户端中了解详细信息。
• 有关 Microsoft Office 2003 的受支持版本，请参阅创建管理安装点。 要了解有关如何将客户计算机的来源从更新的管理安装点更改为 Office 2003 原始基线来源或 Service Pack 3 (SP3) 的详细信息，请参阅 Microsoft 知识库文章 902349。
  
  注意 如果您计划从更新管理镜像集中管理软件更新，您可以在文章分发 Office 2003 产品更新中了解详细信息。
• 对于 2007 Microsoft Office system 的受支持版本，请参阅为 2007 Office system 创建网络安装点。
  
  注意 如果您计划集中管理安全更新，请使用 Windows Server Update Services。 有关如何使用 Windows Server Update Services 为 2007 Microsoft Office system 部署安全更新的详细信息，请访问 Windows Server Update Services 网站。

更新兼容性评估程序和应用程序兼容性工具箱

此更新通常写入运行应用程序所必需的相同文件和注册表设置。 这可触发不兼容并使安全更新的部署占用更多的时间。 通过使用应用程序兼容性工具包中包含的更新兼容性评估程序组件，您可以简化测试和验证对已安装程序进行的 Windows 更新。

应用程序兼容性工具包 (ACT) 包含必要的工具和文档，以便在您的环境中部署 Microsoft Windows Vista、Windows Update、Microsoft Security Update 或新版本的 Windows Internet Explorer 之前评估和缓减应用程序的兼容性问题。

受影响的软件

有关您的受影响软件的特定安全更新信息，请单击相应的链接：