Microsoft 安全性公告 MS16-109 - 重要

Silverlight 的安全性更新 （3182373）

發佈時間： 2016 年 9 月 13 日

版本： 1.0

執行摘要

此安全性更新可解決 Microsoft Silverlight 中的弱點。 如果使用者造訪包含特製 Silverlight 應用程式的遭入侵網站，此弱點可能會允許遠端程式代碼執行。 攻擊者無法強制用戶流覽遭入侵的網站。 相反地，攻擊者必須說服使用者瀏覽網站，通常是藉由誘使用戶按兩下電子郵件或立即訊息中的連結，將使用者帶到攻擊者的網站。

在 Mac 或所有支援的 Microsoft Windows 版本上安裝時，此安全性更新已評為 Microsoft Silverlight 5 和 Microsoft Silverlight 5 開發人員運行時間的重要專案。 如需詳細資訊，請參閱 受影響的軟體 一節。

更新會修正 Microsoft Silverlight 如何配置記憶體以在 StringBuilder 中插入和附加字串，以解決弱點。 如需弱點的詳細資訊，請參閱 弱點資訊 一節。

如需此更新的詳細資訊，請參閱 Microsoft 知識庫文章3182373。

受影響的軟體和弱點嚴重性評等

下列軟體版本或版本受到影響。 未列出的版本或版本要麼超過其支援生命周期，要麼不會受到影響。 若要判斷軟體版本或版本的支援生命週期，請參閱 Microsoft 支援服務 生命週期。

針對每個受影響的軟體所指出的嚴重性評等會假設弱點的潛在最大影響。 如需有關此安全性布告欄發行 30 天內有關弱點嚴重性評等和安全性影響之惡意探索性的資訊，請參閱 9 月公告摘要中的惡意探索性索引。

更新常見問題

哪些網頁瀏覽器支援 Microsoft Silverlight 應用程式？
若要執行 Microsoft Silverlight 應用程式，大部分的網頁瀏覽器，包括 Microsoft Internet Explorer，都需要安裝 Microsoft Silverlight，並啟用對應的外掛程式。 如需 Microsoft Silverlight 的詳細資訊，請參閱官方網站 Microsoft Silverlight。 請參閱瀏覽器的檔，以深入瞭解如何停用或移除外掛程式。

哪些版本的 Microsoft Silverlight 5 會受到弱點的影響？
Microsoft Silverlight 組建 5.1.50709.0，這是 Microsoft Silverlight 自此布告欄第一次發行時目前組建，可解決弱點，且不會受到影響。 Microsoft Silverlight 先前至 5.1.50709.0 的組建會受到影響。

如何? 知道我的系統上目前已安裝哪個版本的 Microsoft Silverlight？
如果計算機上已安裝 Microsoft Silverlight，您可以流覽 [取得 Microsoft Silverlight] 頁面，指出系統上目前已安裝哪個版本的 Microsoft Silverlight 。 或者，您可以使用目前 Microsoft Internet Explorer 版本的管理附加元件功能來判斷系統上目前安裝的版本和組建資訊。

您也可以手動檢查位於 「%ProgramFiles%\Microsoft Silverlight」 目錄（在 x86 Microsoft Windows 系統上）或 “%ProgramFiles（x86）%\Microsoft Silverlight” 目錄 （x64 Microsoft Windows 系統上） 中的sllauncher.exe版本號碼。

此外，在 Microsoft Windows 上，您可以在 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Silverlight]：x86 Microsoft Windows 系統上的版本，或 [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Silverlight]：x64 Microsoft Windows 系統上的版本中找到目前安裝的 Microsoft Silverlight 版本和組建資訊。

在 Apple Mac OS 上，可以找到目前已安裝 Microsoft Silverlight 版本的版本和組建資訊，如下所示：

1. 開啟 Finder。
2. 選取系統磁碟驅動器，然後移至 [因特網外掛程式 - 連結庫] 資料夾。
3. 以滑鼠右鍵按下 Silverlight.Plugin 檔案（如果您的滑鼠只有一個按鈕，請在單擊檔案時按 Ctrl 鍵），以顯示操作功能表，然後按下 [顯示套件內容]。
4. 在 contents 資料夾中，找出 info.plist 檔案，並使用編輯器開啟它。 其中包含類似這樣的專案，其中會顯示版本號碼：SilverlightVersion 5.1.50709.0

此 Microsoft Silverlight 5 安全性更新所安裝的版本是 5.1.50709.0。 如果您的 Microsoft Silverlight 5 版本號碼高於或等於此版本號碼，您的系統就不會受到攻擊。

如何? 升級我的 Microsoft Silverlight 版本嗎？
Microsoft Silverlight 自動更新功能有助於確保您的 Microsoft Silverlight 安裝與最新版的 Microsoft Silverlight、Microsoft Silverlight 功能和安全性功能保持最新狀態。 如需 Microsoft Silverlight 自動更新功能的詳細資訊，請參閱 Microsoft Silverlight Updater。 停用 Microsoft Silverlight 自動更新功能的 Windows 用戶可以在 Microsoft Update 中註冊，以取得最新版的 Microsoft Silverlight，或使用上一節受影響軟體[受影響的軟體] 數據表中的下載連結，手動下載最新版本的 Microsoft Silverlight。 如需在企業環境中部署 Microsoft Silverlight 的相關信息，請參閱 Silverlight 企業部署指南。

此更新是否會升級我的 Silverlight 版本？
3182373更新會將舊版 Silverlight 升級至 Silverlight 5.1.50709.0 版。 Microsoft 建議升級以防範此公告中所述的弱點。

哪裡可以找到 Silverlight 產品生命週期的其他資訊？  如需 Silverlight 專屬的生命週期資訊，請參閱 Microsoft Silverlight 支援生命周期原則。

弱點資訊

Microsoft Silverlight 記憶體損毀弱點 - CVE-2016-3367

當 Microsoft Silverlight 不正確地允許應用程式存取記憶體中的物件時，就存在遠端程式代碼執行弱點。 弱點可能會損毀系統記憶體，這可能會讓攻擊者執行任意程序代碼。 在網頁流覽案例中，成功惡意探索此弱點的攻擊者可能會取得與目前登入的使用者相同的許可權。 如果使用者以系統管理用戶權力登入，攻擊者可能會完全控制受影響的系統。 攻擊者接著可以完整的使用者權限安裝程式、檢視變更、刪除資料或建立新的帳戶。 帳戶設定為具有較少使用者權限的使用者，與使用系統管理使用者權限的使用者相比，所受的影響可能較小。

若要惡意探索弱點，攻擊者可以裝載包含特製 Silverlight 應用程式的網站，然後說服用戶流覽遭入侵的網站。 攻擊者也可以利用包含特製內容的網站，包括接受或裝載使用者提供的內容或廣告的網站。 例如，攻擊者可以使用橫幅廣告或其他方法，將 Web 內容傳遞給受影響的系統，來顯示特製的 Web 內容。 不過，在所有情況下，攻擊者都無法強制用戶流覽遭入侵的網站。 相反地，攻擊者必須說服用戶瀏覽網站，通常是藉由誘使用戶按兩下電子郵件或立即訊息中的連結。 更新會修正 Microsoft Silverlight 如何配置記憶體以在 StringBuilder 中插入和附加字串，以解決弱點。

下表包含 Common Vulnerabilities and Exposures 清單中每個弱點的標準項目連結：

緩和因素

Microsoft 尚未識別此弱點的任何 緩和因素 。

因應措施

Microsoft 尚未識別此弱點的任何 因應措施 。

安全性更新部署

如需安全性更新部署資訊，請參閱執行摘要中參考的 Microsoft 知識庫文章。

通知

Microsoft 可辨識安全性社群中協助我們透過協調弱點洩漏保護客戶的工作。 如需詳細資訊，請參閱通知。

免責聲明

Microsoft 知識庫中提供的資訊會「如實」提供，而不會提供任何類型的擔保。 Microsoft 不表示明示或隱含的所有擔保，包括適銷性及適合特定用途的擔保。 任何情況下，Microsoft Corporation 或其供應商都不得承擔任何損害責任，包括直接、間接、附帶、衍生性、業務利潤損失或特殊損害，即使 Microsoft Corporation 或其供應商已獲告知可能遭受此類損害。 某些州不允許排除或限制衍生性或附帶性損害的責任，因此可能不適用上述限制。

修訂記錄

• V1.0 （2016 年 9 月 13 日）： 公告發佈。

頁面產生的 2016-09-12 09：56-07：00。