此安全更新解决了 Microsoft Windows 中 JScript 和 VBScript 脚本引擎中绕过 ASLR 安全功能的问题。 攻击者可以将其中一个 ASLR 旁路与另一个漏洞(例如远程代码执行漏洞)结合使用,以便更可靠地在目标系统上运行任意代码。
此安全更新在 Windows Server 2003、Windows Vista、Windows Server 2008 和 Windows Server 2008 R2 的受支持版本上对受影响版本的 JScript 和 VBScript 脚本引擎的“重要”评级。 有关详细信息,请参阅 “受影响的软件 ”部分。
以下版本的 JScript 和 VBScript 受本公告中讨论的漏洞的影响。 未列出的早期版本或版本要么超过其 支持生命周期 ,要么不受影响。 以下受影响的软件适用于安装了 Internet Explorer 7 或更早版本的系统以及未安装 Internet Explorer 的系统。 运行 Internet Explorer 8 或更高版本的系统的客户应应用 Internet Explorer 累积更新3049563(MS15-043),这也解决了本公告中讨论的漏洞。
请注意 ,VBScript 5.12 和 JScript 5.12 的更新适用于 Windows Technical Preview 和 Windows Server Technical Preview,并通过 Internet Explorer 累积更新3049563(MS15-043)提供。 鼓励运行预览版的客户应用通过Windows 更新提供的更新。
更新常见问题解答
如何实现确定系统上安装了哪些版本的 JScript 和 VBScript 脚本引擎?
JScript 和 VBScript 脚本引擎随受支持的 Microsoft Windows 版本一起安装。 此外,在系统上安装较新版本的 Internet Explorer 可以更改安装的 JScript 和 VBScript 脚本引擎的版本。
一旦我知道在系统上安装的 JScript 或 VBScript 脚本引擎的版本,我在哪里获取更新?
此公告中受影响的软件适用于未安装 Internet Explorer 的系统以及安装了 Internet Explorer 8 或更早版本的系统。 运行 Internet Explorer 9 或更高版本的系统的客户应应用 Internet Explorer 累积更新(MS15-043),这也解决了本公告中讨论的漏洞。
下表总结了哪些公告按 JScript 和 VBScript 版本以及 Internet Explorer 提供更新。
在 Web 浏览方案中,成功利用 ASLR 旁路要求用户登录并运行受影响的 Internet Explorer 版本,并浏览到恶意站点。 因此,经常使用 Web 浏览器的任何系统(例如工作站或终端服务器)都受到 ASLR 绕过的最大风险。 如果管理员允许用户浏览和读取服务器上的电子邮件,服务器可能会面临更大的风险。 但是,最佳做法强烈建议不要允许这样做。
在 Web 浏览方案中,成功利用 ASLR 旁路要求用户登录并运行受影响的 Internet Explorer 版本,并浏览到恶意站点。 因此,经常使用 Web 浏览器的任何系统(例如工作站或终端服务器)都受到 ASLR 绕过的最大风险。 如果管理员允许用户浏览和读取服务器上的电子邮件,服务器可能会面临更大的风险。 但是,最佳做法强烈建议不要允许这样做。
Microsoft 认识到安全社区中那些帮助我们通过协调漏洞披露来保护客户的努力。 有关详细信息,请参阅确认。
免责声明
Microsoft 知识库中提供的信息“按原样”提供,不提供任何形式的担保。 Microsoft 不明确或暗示所有保证,包括适销性和针对特定用途的适用性和适用性的保证。 在任何情况下,Microsoft Corporation 或其供应商都应对任何损害负责,包括直接、间接、附带、后果性、业务利润损失或特殊损害,即使 Microsoft Corporation 或其供应商被告知存在此类损害的可能性。 某些州不允许排除或限制后果性或附带性损害的责任,因此上述限制可能不适用。
修订
V1.0(2015 年 5 月 12 日):公告已发布。
V1.1(2015 年 5 月 13 日):修订后的公告,以更正为 Windows Server 2008 R2(Server Core 安装)替换的更新。 这只是一项信息性更改。 更新文件没有更改。 已成功更新其系统的客户无需采取任何操作。