Microsoft 安全性布告欄 MS16-064 - 重大

發佈時間： 2016 年 5 月 10 日 |更新日期：2016 年 5 月 13 日

版本： 2.0

此安全性更新會在所有支援的 Windows 8.1、Windows Server 2012、Windows Server 2012 R2、Windows RT 8.1 和 Windows 10 版本上安裝時，解決 Adobe Flash Player 中的弱點。

此安全性更新已評為「重大」。 更新會藉由更新 Internet Explorer 10、Internet Explorer 11 和 Microsoft Edge 中包含的受影響 Adobe Flash 連結庫，來解決 Adobe Flash Player 中的弱點。 如需詳細資訊，請參閱 受影響的軟體 一節。

如需此更新的詳細資訊，請參閱 Microsoft 知識庫文章3163207。

此安全性更新可解決下列弱點，如 Adobe 安全性布告欄 APSB16-15 中所述：

CVE-2016-1096、CVE-2016-1097、CVE-2016-1098、CVE-2016-1099、CVE-2016-1100、CVE-2016-1101、 CVE-2016-1102、CVE-2016-1103、CVE-2016-1104、CVE-2016-1105、CVE-2016-1106、CVE-2016-1107、CVE-2016-1108、 CVE-2016-1109、CVE-2016-1110、CVE-2016-4108、CVE-2016-4109、CVE-2016-4110、CVE-2016-4111、 CVE-2016-4112、CVE-2016-4113、CVE-2016-4114、CVE-2016-4115、CVE-2016-4116、CVE-2016-4117

下列軟體版本或版本受到影響。 未列出的版本或版本要麼超過其支援生命周期，要麼不會受到影響。 若要判斷軟體版本或版本的支援生命週期，請參閱 Microsoft 支援服務 生命週期。

^[1]此更新可透過 Windows Update 取得。

^[2]適用於 Windows 10 更新的 Adobe FlashPlayer 更新可透過 Windows Update 或 Microsoft Update 目錄取得。

注意 Windows Server 2016 Technical Preview 5 受到影響;匯總嚴重性評等為 [重大]，且影響為 [中等]、[遠端程式代碼執行]。 鼓勵執行此操作系統的客戶套用可透過 Windows Update 取得的更新。

*更新 取代的數據行只會顯示任何已取代更新鏈結中的最新更新。 如需已取代的更新完整清單，請移至 Microsoft Update Catalog，搜尋更新 KB 編號，然後檢視更新詳細數據（更新取代的資訊是在 [套件詳細數據] 索引標籤上提供。

攻擊者如何利用這些弱點？
在使用者使用 Internet Explorer (傳統型) 的 Web 型攻擊案例中，攻擊者可以裝載特製的網站，其設計目的是透過 Internet Explorer 惡意探索這些弱點，然後說服用戶檢視網站。 攻擊者也可以在裝載 IE 轉譯引擎的應用程式或 Microsoft Office 檔中內嵌標示為「安全初始化」的 ActiveX 控制件。 攻擊者也可以利用遭入侵的網站和網站，接受或裝載使用者提供的內容或廣告。 這些網站可能包含特別製作的內容，這些內容可能會利用這些弱點。 不過，在所有情況下，攻擊者都無法強制用戶檢視攻擊者控制的內容。 相反地，攻擊者必須說服用戶採取動作，通常是單擊電子郵件訊息或立即信使訊息中的連結，以將使用者帶到攻擊者的網站，或開啟透過電子郵件傳送的附件。

在使用者在 Windows 8 樣式 UI 中使用 Internet Explorer 的 Web 型攻擊案例中，攻擊者必須先入侵相容性檢視 （CV） 清單中已列出的網站。 攻擊者接著可以裝載一個網站，其中包含專為透過 Internet Explorer 惡意探索這些弱點而設計的 Flash 內容，然後說服用戶檢視網站。 攻擊者無法強制用戶檢視攻擊者控制的內容。 相反地，攻擊者必須說服用戶採取動作，通常是單擊電子郵件訊息或立即信使訊息中的連結，以將使用者帶到攻擊者的網站，或開啟透過電子郵件傳送的附件。 如需 Internet Explorer 和 CV 清單的詳細資訊，請參閱 MSDN 文章、 Windows 8 中 Adobe Flash Player 內容的網站開發人員指引。

風險降低是指設定、一般設定或一般最佳做法，存在於默認狀態中，這可能會降低惡意探索弱點的嚴重性。 下列緩和因素可能對您的情況有所説明：

• 在使用者正在使用 Internet Explorer (傳統型) 的網頁式攻擊案例中，攻擊者可以裝載包含用來惡意探索這些弱點之網頁的網站。 此外，接受或裝載使用者提供之內容或廣告的遭入侵網站和網站，可能包含可能利用這些弱點的特製內容。 不過，在所有情況下，攻擊者都無法強制使用者瀏覽這些網站。 相反地，攻擊者必須說服用戶瀏覽網站，通常是藉由讓他們按兩下電子郵件訊息或將使用者帶到攻擊者網站的Instant Messenger 訊息中的連結。
• Windows 8 樣式 UI 中的 Internet Explorer 只會播放相容性檢視 （CV） 清單中所列網站的 Flash 內容。 這項限制需要攻擊者先入侵已列在 CV 清單上的網站。 攻擊者接著可以裝載專為透過 Internet Explorer 惡意探索這些弱點而設計的 Flash 內容，然後說服用戶檢視網站。 攻擊者無法強制用戶檢視攻擊者控制的內容。 相反地，攻擊者必須說服用戶採取動作，通常是單擊電子郵件訊息或立即信使訊息中的連結，以將使用者帶到攻擊者的網站，或開啟透過電子郵件傳送的附件。
• 根據預設，所有支援的 Microsoft Outlook 和 Windows Live Mail 版本都會在受限制的網站區域中開啟 HTML 電子郵件訊息。 停用腳本和 ActiveX 控制件的受限制網站區域可協助降低攻擊者能夠使用這些弱點來執行惡意代碼的風險。 如果使用者在電子郵件訊息中按兩下連結，使用者可能仍可能會透過Web型攻擊案例惡意探索這些弱點。
• 根據預設，Windows Server 2012 和 Windows Server 2012 R2 上的 Internet Explorer 會以稱為 增強式安全性設定的受限制模式執行。 此模式有助於降低 Internet Explorer 中這些 Adobe Flash Player 弱點的惡意探索的可能性。

因應措施是指在套用更新之前，有助於封鎖已知攻擊媒介的設定或組態變更。

• 防止 Adobe Flash Player 執行
  您可以藉由在登錄中設定控件的終止位位，例如 Office 2007 和 Office 2010，停用在 Internet Explorer 中具現化 Adobe Flash Player 和其他應用程式嘗試具現化 Adobe Flash Player。

  警告 如果您使用註冊表編輯器不正確，可能會造成嚴重問題，而可能需要重新安裝操作系統。 Microsoft 無法保證您可以解決使用註冊表編輯器不正確所造成的問題。 請自行承擔使用登錄編輯程式的風險。

  若要在登錄中設定 控制件的終止位，請執行下列步驟：

  1. 將下列內容貼到文本檔中，並以.reg擴展名儲存。

         Windows Registry Editor Version 5.00
         [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{D27CDB6E-AE6D-11CF-96B8-444553540000}]
         "Compatibility Flags"=dword:00000400
     
         [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\ActiveX Compatibility\{D27CDB6E-AE6D-11CF-96B8-444553540000}]
         "Compatibility Flags"=dword:00000400
     

  2. 按兩下.reg檔案，將其套用至個別系統。 您也可以使用組策略跨網域套用此因應措施。 如需組策略的詳細資訊，請參閱TechNet文章 組策略集合。

  注意 您必須重新啟動 Internet Explorer，您的變更才會生效。

  因應措施的影響。 只要物件不打算用於 Internet Explorer，就不會有任何影響。

  如何復原因應措施。 刪除實作此因應措施時新增的登錄機碼。

• 防止 Adobe Flash Player 透過組策略在 Internet Explorer 中執行
  注意 組策略 MMC 嵌入式管理單元可用來設定計算機、組織單位或整個網域的原則。 如需組策略的詳細資訊，請流覽下列 Microsoft 網站：

  群組原則概觀

  什麼是組策略對象編輯器？

  核心組策略工具和設定

  若要透過組策略停用 Internet Explorer 中的 Adobe Flash Player，請執行下列步驟：

  注意 此因應措施不會防止從其他應用程式叫用 Flash，例如 Microsoft Office 2007 或 Microsoft Office 2010。

  1. 開啟組策略管理控制台，並設定控制台以使用適當的組策略物件，例如本機計算機、OU 或網域 GPO。
  2. 流覽至下列節點：管理員 範本 -Windows 元件 ->>Internet Explorer ->安全性功能 ->附加元件管理
  3. 按兩下 [ 關閉 Internet Explorer 中的 Adobe Flash]，並防止應用程式使用 Internet Explorer 技術具現化 Flash 物件。
  4. 將設定變更為 [已啟用]。
  5. 按兩下 [ 套用 ]，然後按兩下 [ 確定 ] 傳回組策略管理主控台。
  6. 在所有系統上重新整理組策略，或等候下一個排程的組策略重新整理間隔，設定才會生效。

• 防止 Adobe Flash Player 在受影響的系統上在 Office 2010 中執行
  注意 此因應措施不會防止 Adobe Flash Player 在 Internet Explorer 中執行。

  警告 如果您使用註冊表編輯器不正確，可能會造成嚴重問題，而可能需要重新安裝操作系統。 Microsoft 無法保證您可以解決使用註冊表編輯器不正確所造成的問題。 請自行承擔使用登錄編輯程式的風險。

  如需可用來防止控件在 Internet Explorer 中執行的詳細步驟，請參閱 Microsoft 知識庫文章240797。 請遵循本文中的步驟，在登錄中建立相容性旗標值，以防止 COM 物件在 Internet Explorer 中具現化。

  若要僅停用 Office 2010 中的 Adobe Flash Player，請使用下列步驟，為登錄中的 Adobe Flash Player 設定 ActiveX 控件的終止位：

  1. 使用下列內容建立名為 Disable_Flash.reg 的文字檔：

         Windows Registry Editor Version 5.00
     
         [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\Common\COM\Compatibility\{D27CDB6E-AE6D-11CF-96B8-444553540000}]
         "Compatibility Flags"=dword:00000400
     

  2. 按兩下.reg檔案，將其套用至個別系統。

  3. 注意 您必須重新啟動 Internet Explorer，您的變更才會生效。

     您也可以使用組策略跨網域套用此因應措施。 如需組策略的詳細資訊，請參閱TechNet文章 組策略集合。

• 防止 ActiveX 控制件在 Office 2007 和 Office 2010 中執行
  若要停用 Microsoft Office 2007 和 Microsoft Office 2010 中的所有 ActiveX 控件，包括 Internet Explorer 中的 Adobe Flash Player，請執行下列步驟：

  1. 依序按兩下 [檔案]、[選項]、[信任中心]，然後按兩下 [信任中心] 設定。
  2. 按兩下左側窗格中的 [ActiveX 設定]，然後選取 [停用所有沒有通知的控件]。
  3. 按一下確定儲存設定。

  因應措施的影響。 使用內嵌 ActiveX 控制件的 Office 檔可能無法如預期顯示。

  如何復原因應措施。

  若要在 Microsoft Office 2007 和 Microsoft Office 2010 中重新啟用 ActiveX 控件，請執行下列步驟：

  1. 依序按兩下 [檔案]、[選項]、[信任中心]，然後按兩下 [信任中心] 設定。
  2. 按兩下左側窗格中的 [ActiveX 設定]，然後取消選取 [停用所有沒有通知的控件]。
  3. 按一下確定儲存設定。

• 將因特網和近端內部網路安全性區域設定設定設定為 「高」，以封鎖這些區域中的 ActiveX 控制件和作用中腳本
  您可以藉由變更因特網安全性區域的設定來封鎖 ActiveX 控件和 Active Scripting，協助防範這些弱點的惡意探索。 您可以將瀏覽器安全性設定為 [高] 來執行此動作。

  若要在 Internet Explorer 中提高流覽安全性層級，請執行下列步驟：

  1. 在 [Internet Explorer 工具] 功能表上，按兩下 [因特網選項]。
  2. 在 [ 因特網選項] 對話框中，按兩下 [ 安全性] 索引卷標，然後按兩下 [ 因特網]。
  3. 在 [此區域的安全性層級] 下，將滑桿移至 [高]。 這會為您流覽至 High 的所有網站設定安全性層級。
  4. 按兩下 [ 近端內部網络]。
  5. 在 [此區域的安全性層級] 下，將滑桿移至 [高]。 這會為您流覽至 High 的所有網站設定安全性層級。
  6. 按兩下 [ 確定 ] 接受變更，並返回InternetExplorer。

  注意 如果沒有顯示滑桿，請按兩下 [預設層級]，然後將滑桿移至 [高]。

  注意 將層級設定為 [高] 可能會導致某些網站運作不正確。 如果您在變更此設定之後難以使用網站，而且您確定網站是安全的，您可以將該網站新增至信任的網站清單。 這可讓網站正常運作，即使安全性設定設為 [高]。

  因應措施的影響。 封鎖 ActiveX 控制件和 Active Scripting 有副作用。 因特網或內部網路上的許多網站都使用 ActiveX 或 Active Scripting 來提供其他功能。 例如，在線電子商務網站或銀行網站可能會使用 ActiveX 控件來提供功能表、訂購表單，甚至是帳戶帳單。 封鎖 ActiveX 控制件或 Active Scripting 是影響所有因特網和內部網路網站的全域設定。 如果您不想封鎖這類網站的 ActiveX 控制件或 Active Scripting，請使用「將信任的網站新增至 Internet Explorer 信任的網站區域」中所述的步驟。

• 將 Internet Explorer 設定為在執行 Active Scripting 之前提示，或停用因特網和近端內部網路安全性區域中的作用中腳本
  您可以藉由在執行 Active Scripting 之前將設定變更為提示，或在因特網和近端內部網路安全性區域中停用 Active Scripting，以協助防範這些弱點的惡意探索。 若要這樣做，請執行下列步驟：

  1. 在 Internet Explorer 中，單擊 [工具] 功能表上的 [因特網選項]。
  2. 按一下 [安全性] 索引標籤。
  3. 按兩下 [ 因特網]，然後按兩下 [ 自定義層級]。
  4. 在 [設定] 底下的 [腳本] 區段中，按兩下 [使用中腳本] 下的 [提示] 或 [停用]，然後按兩下 [確定]。
  5. 按兩下 [ 近端內部網络]，然後按兩下 [ 自定義層級]。
  6. 在 [設定] 底下的 [腳本] 區段中，按兩下 [使用中腳本] 下的 [提示] 或 [停用]，然後按兩下 [確定]。
  7. 按兩下 [ 確定 ] 傳回 Internet Explorer，然後按兩下 [確定 ]。

  注意 停用因特網和近端內部網路安全性區域中的作用中腳本可能會導致某些網站運作不正確。 如果您在變更此設定之後難以使用網站，而且您確定網站是安全的，您可以將該網站新增至信任的網站清單。 這可讓網站正常運作。

  因應措施的影響。 在執行作用中腳本之前，提示會有副作用。 位於因特網或內部網路上的許多網站都會使用 Active Scripting 來提供其他功能。 例如，在線電子商務網站或銀行網站可能會使用 Active Scripting 來提供功能表、訂購表單，甚至是帳戶陳述。 在執行 Active Scripting 之前提示是會影響所有因特網和內部網路網站的全域設定。 當您啟用此因應措施時，會經常提示您。 針對每個提示，如果您覺得信任您正在瀏覽的網站，請按兩下 [ 是 ] 以執行 [作用中腳本]。 如果您不想提示所有這些網站，請使用<將信任的網站新增至 Internet Explorer 信任的網站區域>中所述的步驟。

• 將您信任的網站新增至 Internet Explorer 信任的網站區域
  將 Internet Explorer 設定為在因特網區域和近端內部網路區域中執行 ActiveX 控制件和 Active Scripting 之前需要提示之後，您可以將信任的網站新增至 Internet Explorer 信任的網站區域。 這可讓您像今天一樣繼續使用受信任的網站，同時協助保護您免受不受信任網站的此攻擊。 建議您只將信任的網站新增至 [信任的網站] 區域。

  若要這樣做，請執行下列步驟：

  1. 在 Internet Explorer 中，按兩下 [工具]，按兩下 [因特網選項]，然後按兩下 [ 安全性] 索引卷標。
  2. 在 [選取 Web 內容區域以指定其目前的安全性設定] 方塊中，按兩下 [信任的網站]，然後按兩下 [網站]。
  3. 如果您想要新增不需要加密通道的網站，請按下 以清除 [需要此區域 所有網站的伺服器驗證 （https：）] 複選框。
  4. 在 [ 將此網站新增至區域 ] 方塊中，輸入您信任的網站 URL，然後按兩下 [ 新增]。
  5. 針對您要新增至區域的每個網站重複這些步驟。
  6. 按兩次以接受變更並返回Internet Explorer。

  注意 新增您信任的任何網站，不要在您的系統上採取惡意動作。 您特別想要新增的兩個網站是 *.windowsupdate.microsoft.com 和 *.update.microsoft.com。 這些是將裝載更新的網站，而且需要 ActiveX 控件才能安裝更新。

如需安全性更新部署資訊，請參閱執行摘要中參考的 Microsoft 知識庫文章。

Microsoft 可辨識安全性社群中協助我們透過協調弱點洩漏保護客戶的工作。 如需詳細資訊，請參閱通知。

Microsoft 知識庫中提供的資訊會「如實」提供，而不會提供任何類型的擔保。 Microsoft 不表示明示或隱含的所有擔保，包括適銷性及適合特定用途的擔保。 任何情況下，Microsoft Corporation 或其供應商都不得承擔任何損害責任，包括直接、間接、附帶、衍生性、業務利潤損失或特殊損害，即使 Microsoft Corporation 或其供應商已獲告知可能遭受此類損害。 某些州不允許排除或限制衍生性或附帶性損害的責任，因此可能不適用上述限制。

• V1.0 （2016 年 5 月 10 日）： 公告發佈。
• V1.1 （2016 年 5 月 10 日）：公告已修訂為暫時將 Adobe 安全性公告 APSB16-15 的非使用中連結重新導向至 2016 年 5 月版本的 Adobe Security Advisory APSA16-02。 重新導向即將發行 2016 年 5 月版的 Adobe Security Bulletin。 這隻是參考性變更。
• V2.0 （2016 年 5 月 13 日）：公告已修訂公告更新發行3163207，以解決 Adobe 安全性公告 APSB16-15 中包含的弱點。 請注意，更新3163207會取代先前在此公告中發行的更新（更新3157993）。 Microsoft 強烈建議客戶安裝更新3163207，以協助保護其免於 Adobe 安全性布告欄 APSB16-15 中所述的弱點。

頁面產生的 2016-05-13 08：45-07：00。