Microsoft 安全性公告 MS15-049 - 重要

Silverlight 中的弱點可能會允許提高許可權 （3058985）

發佈時間： 2015 年 5 月 12 日 |更新日期：2015年6月23日

版本： 1.1

執行摘要

此安全性更新可解決 Microsoft Silverlight 中的弱點。 如果特別製作的 Silverlight 應用程式在受影響的系統上執行，此弱點可能會允許提高許可權。 若要惡意探索弱點，攻擊者必須先登入系統，或說服登入的使用者執行特製的應用程式。

在 Mac 或所有支援的 Microsoft Windows 版本上安裝時，此安全性更新已評為 Microsoft Silverlight 5 和 Microsoft Silverlight 5 開發人員運行時間的重要專案。 如需詳細資訊，請參閱 受影響的軟體 一節。

安全性更新會藉由新增額外的檢查來解決弱點，以確保未提升許可權的進程受限於在低完整性層級執行（非常有限的許可權）。 如需弱點的詳細資訊，請參閱 弱點資訊 一節。

如需此更新的詳細資訊，請參閱 Microsoft 知識庫文章3058985。

受影響的軟體

下列軟體版本或版本受到影響。 未列出的版本或版本要麼超過其支援生命周期，要麼不會受到影響。 若要判斷軟體版本或版本的支援生命週期，請參閱 Microsoft 支援服務 生命週期。

嚴重性評等和弱點標識碼

下列嚴重性評等假設弱點的潛在最大影響。 如需有關此安全性布告欄發行 30 天內有關弱點嚴重性評等和安全性影響之惡意探索性的資訊，請參閱 5 月公告摘要中的惡意探索索引。

更新常見問題

為什麼此公告中的相同更新檔案也會在 GDI+ 公告中表示？
雖然此布告欄和 GDI+ 公告會同時發行，但每個布告欄的安全性更新已合併，因此兩個公告中出現相同的更新檔案。

請注意，多個布告欄所表示的相同更新套件不需要安裝一次以上。

哪些網頁瀏覽器支援 Microsoft Silverlight 應用程式？
為了執行 Microsoft Silverlight 應用程式，大部分的網頁瀏覽器，包括 Microsoft Internet Explorer，都需要安裝 Microsoft Silverlight，並啟用對應的外掛程式。 如需 Microsoft Silverlight 的詳細資訊，請參閱官方網站 Microsoft Silverlight。 請參閱瀏覽器的檔，以深入瞭解如何停用或移除外掛程式。

哪些版本的 Microsoft Silverlight 5 會受到弱點的影響？
Microsoft Silverlight 組建 5.1.40416.00，這是 Microsoft Silverlight 的目前組建，自此公告首次發行時，會解決弱點，且不會受到影響。 Microsoft Silverlight 先前至 5.1.40416.00 的組建會受到影響。

如何? 知道我的系統上目前已安裝哪個版本的 Microsoft Silverlight？
如果計算機上已安裝 Microsoft Silverlight，您可以流覽 [取得 Microsoft Silverlight] 頁面，指出系統上目前已安裝哪個版本的 Microsoft Silverlight 。 或者，您可以使用目前 Microsoft Internet Explorer 版本的管理附加元件功能來判斷系統上目前安裝的版本和組建資訊。

您也可以手動檢查位於 「%ProgramFiles%\Microsoft Silverlight」 目錄（在 x86 Microsoft Windows 系統上）或 “%ProgramFiles（x86）%\Microsoft Silverlight” 目錄 （x64 Microsoft Windows 系統上） 中的sllauncher.exe版本號碼。

此外，在 Microsoft Windows 上，您可以在 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Silverlight]：x86 Microsoft Windows 系統上的版本，或 [HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Silverlight]：x64 Microsoft Windows 系統上的版本中找到目前安裝的 Microsoft Silverlight 版本和組建資訊。

在 Apple Mac OS 上，可以找到目前已安裝 Microsoft Silverlight 版本的版本和組建資訊，如下所示：

1. 開啟 Finder
2. 選取系統磁碟驅動器，然後移至 [因特網外掛程式 - 連結庫] 資料夾
3. 以滑鼠右鍵按下 Silverlight.Plugin 檔案（如果您的滑鼠只有一個按鈕，請在單擊檔案時按 Ctrl 鍵）以顯示操作功能表，然後按兩下 [顯示套件內容]
4. 在 contents 資料夾中，找出 info.plist 檔案，並使用編輯器開啟它。 它會包含如下的專案，其中會顯示版本號碼：
   SilverlightVersion
   5.1.40416.00

隨 Microsoft Silverlight 5 這個安全性更新一起安裝的版本是 5.1.40416.00。 如果您的 Microsoft Silverlight 5 版本號碼高於或等於此版本號碼，您的系統就不會受到攻擊。

如何? 升級我的 Microsoft Silverlight 版本嗎？
Microsoft Silverlight 自動更新功能有助於確保您的 Microsoft Silverlight 安裝與最新版的 Microsoft Silverlight、Microsoft Silverlight 功能和安全性功能保持最新狀態。 如需 Microsoft Silverlight 自動更新功能的詳細資訊，請參閱 Microsoft Silverlight Updater。 停用 Microsoft Silverlight 自動更新功能的 Windows 用戶可以在 Microsoft Update 中註冊，以取得最新版的 Microsoft Silverlight，或使用上一節[受影響的軟體] 區段中的下載連結手動下載最新版本的 Microsoft Silverlight。 如需在企業環境中部署 Microsoft Silverlight 的相關信息，請參閱 Silverlight 企業部署指南。

此更新是否會升級我的 Silverlight 版本？
3056819更新會將舊版 Silverlight 升級至 Silverlight 5.1.40416.00 版。 Microsoft 建議升級以防範此公告中所述的弱點。

哪裡可以找到 Silverlight 產品生命週期的其他資訊？
如需 Silverlight 專屬的生命週期資訊，請參閱 Microsoft Silverlight 支援生命周期原則。

弱點資訊

Microsoft Silverlight 瀏覽器外應用程式弱點 - CVE-2015-1715

Microsoft Silverlight 中存在許可權提升弱點，當 Silverlight 不當允許打算在低完整性層級執行的應用程式（非常有限的許可權）在中型完整性層級執行（目前使用者的許可權）或更高時，就會造成許可權提升。 若要惡意探索此弱點，攻擊者必須先登入系統，或說服登入的使用者執行特別製作的 Silverlight 應用程式。

成功利用此弱點的攻擊者，可以執行與目前登入使用者相同或更高層級許可權的任意程序代碼。 攻擊者接著可以安裝程式;檢視、變更或刪除數據;或建立具有完整系統管理許可權的新帳戶。 更新會藉由新增額外的檢查來解決弱點，以確保未提升許可權的進程僅限於在低完整性層級執行（非常有限的許可權）。

Microsoft 透過協調的弱點洩漏收到此弱點的相關信息。 當此安全性公告最初發佈時，Microsoft 未收到任何資訊，以指出此弱點已公開用來攻擊客戶。

緩和因素

Microsoft 尚未識別此弱點的任何 緩和因素 。

因應措施

下列 因應措施 可能對您的情況有所説明：

• 暫時防止 Microsoft Silverlight 在 Internet Explorer 中執行

  1. 在 Internet Explorer 中，移至 [工具] 功能表，然後按兩下 [ 因特網選項]。
  2. 在 [因特網選項] 視窗中，按兩下 [ 程式] 索引卷標，然後按兩下 [ 管理附加元件]。
  3. 在 [工具列和延伸模組] 清單中，找出並選取 [Microsoft Silverlight]，然後按兩下 [ 停用]。

   

• 暫時防止 Microsoft Silverlight 在 Mozilla Firefox 中執行

  1. 在Mozilla Firefox 中，移至 [ 工具] 功能表，然後按兩下 [ 附加元件]。
  2. 在 [附加元件] 視窗中，按兩下 [外掛程式] 索引標籤 。
  3. 找出 Silverlight 外掛程式，然後按兩下 [ 停用]。

   

• 暫時防止 Microsoft Silverlight 在 Google Chrome 中執行

  1. 在Google Chrome中，輸入 網址列中的about：plugins 。
  2. 在產生的視窗中，找出 Silverlight 外掛程式，然後加以停用。

   

• 從 IE 提高許可權原則移除Silverlight.Configuration.exe
  警告 如果您使用註冊表編輯器不正確，可能會造成嚴重問題，而可能需要重新安裝操作系統。 Microsoft 無法保證您可以解決使用註冊表編輯器不正確所造成的問題。 請自行承擔使用登錄編輯程式的風險。

  1. 開啟 [登錄編輯程式]。
  2. 展開 HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Internet Explorer>低許可權提高原則>
  3. 選取 {003B91A6-61E3-4591-891D-01E94C8CB11E}
  4. 單擊 [ 檔案] 功能表，然後按兩下 [ 導出]。
  5. 在 [導出登錄檔] 視窗中，輸入 silverlight.configuration.exe_backup.reg ，然後按兩下 [ 儲存]。
  6. 單擊 [ 檔案] 功能表，按兩下 [刪除]，然後按下 [ 是]。
  7. 關閉登錄編輯器。
  8. 註銷再重新登入，或重新啟動計算機。

   

如何復原因應措施。

1. 開啟 [登錄編輯程式]。
2. 單擊 [ 檔案] 功能表，然後按兩下 [ 匯入]。
3. 在 [匯入登錄檔] 視窗中，按兩下 [silverlight.configuration.exe_backup.reg ]，然後按兩下 [ 開啟]。
4. 關閉登錄編輯器。
5. 註銷再重新登入，或重新啟動計算機。

安全性更新部署

如需安全性更新部署資訊，請參閱執行摘要中參考的 Microsoft 知識庫文章。

通知

Microsoft 可辨識安全性社群中協助我們透過協調弱點洩漏保護客戶的工作。 如需詳細資訊，請參閱通知。

免責聲明

Microsoft 知識庫中提供的資訊會「如實」提供，而不會提供任何類型的擔保。 Microsoft 不表示明示或隱含的所有擔保，包括適銷性及適合特定用途的擔保。 任何情況下，Microsoft Corporation 或其供應商都不得承擔任何損害責任，包括直接、間接、附帶、衍生性、業務利潤損失或特殊損害，即使 Microsoft Corporation 或其供應商已獲告知可能遭受此類損害。 某些州不允許排除或限制衍生性或附帶性損害的責任，因此可能不適用上述限制。

修訂記錄

• V1.0 （2015 年 5 月 12 日）： 公告發佈。
• V1.1 （2015 年 6 月 23 日）：公告已修訂公告 Microsoft Silverlight 5 3056819更新中的偵測變更。 這隻是偵測變更。 已成功更新其系統的客戶不需要採取任何動作。

頁面產生的 2015-06-23 10：35Z-07：00。