Microsoft 安全公告 MS16-096 - 严重

Microsoft Edge 累积安全更新(3177358)

发布时间: 2016 年 8 月 9 日

版本: 1.0

执行摘要

此安全更新可解决 Microsoft Edge 中的漏洞。 如果用户使用 Microsoft Edge 查看特制网页,则最严重的漏洞可能会允许远程代码执行。 成功利用漏洞的攻击者可能会获得与当前用户相同的用户权限。 其帐户配置为对系统具有较少用户权限的客户的影响可能比具有管理用户权限的用户少。

此安全更新在 Windows 10 上被评为 Microsoft Edge 的“严重”。 有关详细信息,请参阅 “受影响的软件 ”部分。

此更新通过以下方式解决漏洞:

  • 修改 Microsoft Edge 如何处理内存中的对象
  • 修改 Chakra JavaScript 脚本引擎如何处理内存中的对象

有关漏洞的详细信息,请参阅 “漏洞信息 ”部分。

有关此更新的详细信息,请参阅 Microsoft 知识库文章3177358

受影响的软件

以下软件版本或版本受到影响。 未列出的版本或版本要么超过其支持生命周期,要么不受影响。 若要确定软件版本或版本的支持生命周期,请参阅Microsoft 支持部门生命周期

操作系统 组件 最大安全影响 聚合严重性分级 已替换汇报
Microsoft Edge
适用于 32 位系统的 Windows 10[1](3176492) Microsoft Edge 远程代码执行 严重 3163912
基于 x64 的系统 Windows 10[1](3176492) Microsoft Edge 远程代码执行 严重 3163912
适用于 32 位系统的 Windows 10 版本 1511[1](3176493) Microsoft Edge 远程代码执行 严重 3172985
基于 x64 的系统 Windows 10 版本 1511[1](3176493) Microsoft Edge 远程代码执行 严重 3172985
适用于 32 位系统的 Windows 10 版本 1607[1](3176495) Microsoft Edge 远程代码执行 严重
基于 x64 的系统 Windows 10 版本 1607[1](3176495) Microsoft Edge 远程代码执行 严重

[1]Windows 10 更新是累积更新。 每月安全版本包括影响 Windows 10 的漏洞的所有安全修补程序,以及非安全更新。 可通过 Microsoft 更新目录获取这些更新。

请注意 此公告中讨论的漏洞会影响 Windows Server 2016 Technical Preview 5。 为了免受漏洞的攻击,Microsoft 建议运行此操作系统的客户应用当前更新,该更新仅供Windows 更新使用

更新常见问题解答

此更新是否包含对功能进行任何其他与安全相关的更改?
是的。 随着此更新的发布,在 Internet Explorer 11 和 Edge 浏览器中将禁用 RC4 加密,以符合行业标准。 有关详细信息,请参阅 Microsoft 知识库文章3151631

严重性分级和漏洞标识符

以下严重性分级假定漏洞的潜在最大影响。 有关此安全公告发布 30 天内漏洞的可利用性及其严重性评级和安全影响的信息,请参阅 8 月公告摘要中的 Exploitability Index。

严重性分级和影响表中指定的“严重”、“重要”、“重要”和“中等”值表示严重性分级。 有关详细信息,请参阅 安全公告严重性分级系统。 有关表中使用的缩写,请参阅以下键,以指示最大影响:

缩写 最大影响
RCE 远程代码执行
EoP 权限提升
ID 信息泄露
SFB 安全功能绕过

 

漏洞严重性分级和影响
CVE 编号 漏洞标题 Microsoft Edge
CVE-2016-3289 Microsoft 浏览器内存损坏漏洞 Windows 客户端: 关键/RCEWindows 服务器: 中等/RCE
CVE-2016-3293 Microsoft 浏览器内存损坏漏洞 Windows 客户端: 重要/RCE Windows Server: 低/RCE
CVE-2016-3296 脚本引擎内存损坏漏洞 Windows 客户端: 关键/RCEWindows 服务器: 中等/RCE
CVE-2016-3319 Microsoft PDF 远程代码执行漏洞 Windows 客户端: 关键/RCEWindows 服务器: 中等/RCE
CVE-2016-3322 Microsoft 浏览器内存损坏漏洞 Windows 客户端: 关键/RCEWindows 服务器: 中等/RCE
CVE-2016-3326 Microsoft 浏览器信息泄露漏洞 Windows 客户端: 重要/ID Windows Server 低/ID
CVE-2016-3327 Microsoft 浏览器信息泄露漏洞 Windows 客户端: 重要/ID Windows Server 低/ID
CVE-2016-3329 Microsoft 浏览器信息泄露漏洞 Windows 客户端: 中等/ID Windows Server 低/ID

漏洞信息

多个 Microsoft Edge 内存损坏漏洞

当 Microsoft Edge 在内存中访问对象时,存在多个远程代码执行漏洞。 漏洞可能会损坏内存,使攻击者能够在当前用户的上下文中执行任意代码。 成功利用漏洞的攻击者可能会获得与当前用户相同的用户权限。 如果当前用户使用管理用户权限登录,攻击者可以控制受影响的系统。 然后,攻击者可能会安装程序、查看更改项或删除数据,还可能会使用完全用户权限创建新的帐户。

攻击者可以托管一个专门制作的网站,该网站旨在通过 Microsoft Edge 利用漏洞,然后说服用户查看网站。 攻击者还可以通过添加可能利用漏洞的特制内容来利用被入侵的网站和网站来接受或托管用户提供的内容或广告。 但是,在所有情况下,攻击者都无法强制用户查看攻击者控制的内容。 相反,攻击者必须说服用户采取行动,通常是通过电子邮件或即时消息中的诱惑,或通过让他们打开电子邮件附件。 此更新通过修改 Microsoft Edge 如何处理内存中的对象来解决漏洞。

下表包含指向常见漏洞和公开列表中的每个漏洞的标准条目的链接:

漏洞标题 CVE 编号 公开披露 利用
Microsoft 浏览器内存损坏漏洞 CVE-2016-3289
Microsoft 浏览器内存损坏漏洞 CVE-2016-3293
Microsoft PDF 远程代码执行漏洞 CVE-2016-3319
Microsoft 浏览器内存损坏漏洞 CVE-2016-3322

缓解因素

Microsoft 尚未识别这些漏洞的任何 缓解因素

解决方法

Microsoft 尚未识别这些漏洞的任何 解决方法

 

脚本引擎内存损坏漏洞 - CVE-2016-3296

在处理 Microsoft Edge 内存中的对象时,Chakra JavaScript 引擎呈现的远程代码执行漏洞存在。 此漏洞可能会使内存损坏,使攻击者可以在当前用户的上下文中执行任意代码。 成功利用该漏洞的攻击者可能会获得与当前用户相同的用户权限。 如果当前用户使用管理用户权限登录,则成功利用该漏洞的攻击者可以控制受影响的系统。 然后,攻击者可能会安装程序、查看更改项或删除数据,还可能会使用完全用户权限创建新的帐户。

在基于 Web 的攻击方案中,攻击者可以托管一个专门制作的网站,该网站旨在通过 Microsoft Edge 利用漏洞,然后说服用户查看网站。 攻击者还可以在托管 Edge 呈现引擎的应用程序或Microsoft 办公室文档中嵌入标记为“安全初始化”的 ActiveX 控件。 攻击者还可以利用遭到入侵的网站,以及接受或托管用户提供的内容或广告的网站。 这些网站可能包含利用漏洞的特制内容。 此更新通过修改 Chakra JavaScript 脚本引擎处理内存中的对象的方式来解决漏洞。

下表包含指向常见漏洞和公开列表中的漏洞的标准条目的链接:

漏洞标题 CVE 编号 公开披露 利用
脚本引擎内存损坏漏洞 CVE-2016-3296

缓解因素

Microsoft 尚未识别此漏洞的任何 缓解因素

解决方法

Microsoft 尚未识别此漏洞的任何 解决方法

多个 Microsoft Edge 信息泄露漏洞

当 Microsoft Edge 在内存中处理对象时,存在多个信息泄露漏洞。 成功利用漏洞的攻击者可以获取信息以进一步入侵用户的系统。

为了利用漏洞,在基于 Web 的攻击方案中,攻击者可以托管一个用于尝试利用漏洞的网站。 此外,接受或托管用户提供的内容的已泄露网站和网站可能包含利用漏洞的特制内容。 但是,在所有情况下,攻击者都无法强制用户查看攻击者控制的内容。 相反,攻击者必须说服用户采取行动。 例如,攻击者可能会欺骗用户单击将用户带到攻击者站点的链接。 更新通过更改某些函数如何处理内存中的对象来解决漏洞。

下表包含指向常见漏洞和公开列表中的每个漏洞的标准条目的链接:

漏洞标题 CVE 编号 公开披露 利用
Microsoft 浏览器信息泄露漏洞 CVE-2016-3326
Microsoft 浏览器信息泄露漏洞 CVE-2016-3327

缓解因素

Microsoft 尚未识别这些漏洞的任何 缓解因素

解决方法

Microsoft 尚未识别这些漏洞的任何 解决方法

Microsoft Edge 信息泄露漏洞 - CVE-2016-3329

当 Microsoft Edge 错误处理页面内容时,存在信息泄露漏洞,这可能导致攻击者检测用户系统上是否存在特定文件。 此更新通过帮助确保在 Microsoft Edge 中正确验证页面内容来解决漏洞。

为了利用漏洞,在基于 Web 的攻击方案中,攻击者可以托管一个用于尝试利用漏洞的网站。 此外,接受或托管用户提供的内容的已泄露网站和网站可能包含利用漏洞的特制内容。 但是,在所有情况下,攻击者都无法强制用户查看攻击者控制的内容。 相反,攻击者必须说服用户采取行动。 例如,攻击者可能会欺骗用户单击将用户带到攻击者站点的链接。 更新通过更改某些函数处理内存中的对象的方式来解决漏洞。

下表包含指向常见漏洞和公开列表中的每个漏洞的标准条目的链接:

漏洞标题 CVE 编号 公开披露 利用
Microsoft 浏览器信息泄露漏洞 CVE-2016-3329

缓解因素

Microsoft 尚未识别此漏洞的任何 缓解因素

解决方法

Microsoft 尚未识别此漏洞的任何 解决方法

安全更新部署

有关安全更新部署信息,请参阅“执行摘要”中引用的 Microsoft 知识库文章。

致谢

Microsoft 认识到安全社区中那些帮助我们通过协调漏洞披露来保护客户的努力。 有关详细信息,请参阅确认。

免责声明

Microsoft 知识库中提供的信息“按原样”提供,不提供任何形式的担保。 Microsoft 不明确或暗示所有保证,包括适销性和针对特定用途的适用性和适用性的保证。 在任何情况下,Microsoft Corporation 或其供应商都应对任何损害负责,包括直接、间接、附带、后果性、业务利润损失或特殊损害,即使 Microsoft Corporation 或其供应商被告知存在此类损害的可能性。 某些州不允许排除或限制后果性或附带性损害的责任,因此上述限制可能不适用。

修订

  • V1.0(2016 年 8 月 9 日):公告已发布。

页面生成的 2016-08-11 16:33-07:00。