2018年01月微软重要安全更新汇总
【文章摘要】微软1月份重要安全更新，涉及CPU漏洞：Meltdown（熔断）和Spectre（幽灵），以及Office0day漏洞CVE-等。
微软在1月份修补了多个漏洞，涉及到以下Windows软件的安全更新：
Internet Explorer
Microsoft Edge
Microsoft Windows
Microsoft Office、Microsoft Office Services 和 Web 应用
SQL Server
ChakraCore
.NET Framework
ASP.NET Core
Adobe Flash
以下漏洞需要特别关注：
1. 1月4日，国外安全研究机构公布了两组CPU漏洞：Meltdown（熔断）和Spectre（幽灵）。由于漏洞严重而且影响范围广泛，一经披露就引起了全球范围内的广泛关注。披露内容显示，Meltdown漏洞影响几乎所有的Intel CPU和部分ARM CPU，而Spectre则影响所有的Intel CPU和AMD CPU，以及主流的ARM CPU。从个人电脑、服务器、云计算机服务器到移动端的智能手机，都受到这两组硬件漏洞的影响，获将造成用户账号、邮箱等信息泄漏，影响极为广泛。漏洞公布当天，微软就发布了针对Windows系统的补丁修复程序，但补丁程序本身还存在诸多问题，用户进行更新操作后，可能会让部分系统在特定场景下性能下降，或将和部分软件（安全软件，游戏等）不兼容引发系统蓝屏。另外，即使系统存在CPU漏洞，但浏览器也可能由于各种原因而不受影响。虽然此次Intel爆出的芯片级漏洞影响多个版本，并且难以简单的修复，但目前没有任何已知的利用这些漏洞进行攻击的案例被发现。
2. 微软本月修复了之前腾讯御见威胁情报中心捕获了“黑凤梨”（blacktech）APT组织使用的Office 0day漏洞：CVE-，电脑管家获得微软公开致谢！该APT组织采用office文档为诱饵进行邮件钓鱼攻击，木马可以窃取企业的文件和隐私。目前，腾讯电脑管家首推独有的“女娲石防御技术”，可防御公式编辑器的一切漏洞攻击（包括CVE-等0day攻击）。腾讯企业安全“御点”也支持防御和修复这一系列漏洞，用户可打补丁修复。
腾讯电脑管家已第一时间推送微软补丁，请大家及时修复该漏洞！
以下是本月处理问题的详细内容：
一、 .NET组件漏洞
1. .NET 和 .NET Core 拒绝服务漏洞CVE-
当 .NET 和 .NET Core 不正确地处理 XML 文档时，存在拒绝服务漏洞。成功利用此漏洞的攻击者可能会导致 .NET 应用程序拒绝服务。远程未经身份验证的攻击者可以通过向 .NET（或 .NET Core）应用程序发出经特殊设计的请求来利用此漏洞。此更新通过更正 .NET 和 .NET Core 应用程序处理 XML 文档处理的方式来修复此漏洞。
漏洞影响：拒绝服务
微软评级：重要
影响产品：
.NET Core 1.0
.NET Core 1.1
.NET Core 2.0
Microsoft .NET Framework 2.0 Service Pack 2 & &Windows Server 2008 for 32-bit Systems Service Pack 2
Microsoft .NET Framework 2.0 Service Pack 2 & &Windows Server 2008 for Itanium-Based Systems Service Pack 2
Microsoft .NET Framework 2.0 Service Pack 2 & &Windows Server 2008 for x64-based Systems Service Pack 2
Microsoft .NET Framework 3.0 Service Pack 2 & &Windows Server 2008 for 32-bit Systems Service Pack 2
Microsoft .NET Framework 3.0 Service Pack 2 & &Windows Server 2008 for Itanium-Based Systems Service Pack 2
Microsoft .NET Framework 3.0 Service Pack 2 & &Windows Server 2008 for x64-based Systems Service Pack 2
Microsoft .NET Framework 3.5 & &Windows 10 Version 1511 for 32-bit Systems
Microsoft .NET Framework 3.5 & &Windows 10 Version 1511 for x64-based Systems
Microsoft .NET Framework 3.5 & &Windows 10 Version 1607 for 32-bit Systems
Microsoft .NET Framework 3.5 & &Windows 10 Version 1607 for x64-based Systems
Microsoft .NET Framework 3.5 & &Windows 10 Version 1703 for 32-bit Systems
Microsoft .NET Framework 3.5 & &Windows 10 Version 1703 for x64-based Systems
Microsoft .NET Framework 3.5 & &Windows 10 for 32-bit Systems
Microsoft .NET Framework 3.5 & &Windows 10 for x64-based Systems
Microsoft .NET Framework 3.5 & &Windows 8.1 for 32-bit systems
Microsoft .NET Framework 3.5 & &Windows 8.1 for x64-based systems
Microsoft .NET Framework 3.5 & &Windows Server 2012
Microsoft .NET Framework 3.5 & &Windows Server 2012 (Server Core installation)
Microsoft .NET Framework 3.5 & &Windows Server 2012 R2
Microsoft .NET Framework 3.5 & &Windows Server 2012 R2 (Server Core installation)
Microsoft .NET Framework 3.5 & &Windows Server 2016
Microsoft .NET Framework 3.5 & &Windows Server 2016 &(Server Core installation)
Microsoft .NET Framework 3.5.1 & &Windows 7 for 32-bit Systems Service Pack 1
Microsoft .NET Framework 3.5.1 & &Windows 7 for x64-based Systems Service Pack 1
Microsoft .NET Framework 3.5.1 & &Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
Microsoft .NET Framework 3.5.1 & &Windows Server 2008 R2 for x64-based Systems Service Pack 1
Microsoft .NET Framework 3.5.1 & &Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Microsoft .NET Framework 4.5.2 & &Windows 7 for 32-bit Systems Service Pack 1
Microsoft .NET Framework 4.5.2 & &Windows 7 for x64-based Systems Service Pack 1
Microsoft .NET Framework 4.5.2 & &Windows 8.1 for 32-bit systems
Microsoft .NET Framework 4.5.2 & &Windows 8.1 for x64-based systems
Microsoft .NET Framework 4.5.2 & &Windows RT 8.1
Microsoft .NET Framework 4.5.2 & &Windows Server 2008 R2 for x64-based Systems Service Pack 1
Microsoft .NET Framework 4.5.2 & &Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Microsoft .NET Framework 4.5.2 & &Windows Server 2008 for 32-bit Systems Service Pack 2
Microsoft .NET Framework 4.5.2 & &Windows Server 2008 for x64-based Systems Service Pack 2
Microsoft .NET Framework 4.5.2 & &Windows Server 2012
Microsoft .NET Framework 4.5.2 & &Windows Server 2012 (Server Core installation)
Microsoft .NET Framework 4.5.2 & &Windows Server 2012 R2
Microsoft .NET Framework 4.5.2 & &Windows Server 2012 R2 (Server Core installation)
Microsoft .NET Framework 4.6 & &Windows 10 for 32-bit Systems
Microsoft .NET Framework 4.6 & &Windows 10 for x64-based Systems
Microsoft .NET Framework 4.6 & &Windows Server 2008 for 32-bit Systems Service Pack 2
Microsoft .NET Framework 4.6 & &Windows Server 2008 for x64-based Systems Service Pack 2
Microsoft .NET Framework 4.6.1 & &Windows 10 Version 1511 for 32-bit Systems
Microsoft .NET Framework 4.6.1 & &Windows 10 Version 1511 for x64-based Systems
Microsoft .NET Framework 4.6.2/4.7 & &Windows 10 Version 1607 for 32-bit Systems
Microsoft .NET Framework 4.6.2/4.7 & &Windows 10 Version 1607 for x64-based Systems
Microsoft .NET Framework 4.6.2/4.7 & &Windows Server 2016
Microsoft .NET Framework 4.6.2/4.7 & &Windows Server 2016 &(Server Core installation)
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows 7 for 32-bit Systems Service Pack 1
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows 7 for x64-based Systems Service Pack 1
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows 8.1 for 32-bit systems
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows 8.1 for x64-based systems
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows RT 8.1
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows Server 2008 R2 for x64-based Systems Service Pack 1
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows Server 2012
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows Server 2012 (Server Core installation)
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows Server 2012 R2
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows Server 2012 R2 (Server Core installation)
Microsoft .NET Framework 4.7 & &Windows 10 Version 1703 for 32-bit Systems
Microsoft .NET Framework 4.7 & &Windows 10 Version 1703 for x64-based Systems
Microsoft .NET Framework 4.7.1 & &Windows 10 Version 1709 for 32-bit Systems
Microsoft .NET Framework 4.7.1 & &Windows 10 Version 1709 for 64-based Systems
Microsoft .NET Framework 4.7.1 & &Windows Server, version 1709 &(Server Core Installation)
2. .NET 安全功能绕过漏洞CVE-
当 Microsoft .NET Framework（和 .NET Core）组件未完全验证证书时，存在安全功能绕过漏洞。攻击者可以提供对特定用途标记为无效的证书，但组件仅将其用于此用途。此操作将忽略增强型密钥使用标记。安全更新通过帮助确保 .NET Framework（和 .NET Core）组件完全验证证书来修复此漏洞。
漏洞影响：安全功能绕过
微软评级：重要
影响产品：
.NET Core 1.0
.NET Core 2.0
Microsoft .NET Framework 2.0 Service Pack 2 & &Windows Server 2008 for 32-bit Systems Service Pack 2
Microsoft .NET Framework 2.0 Service Pack 2 & &Windows Server 2008 for Itanium-Based Systems Service Pack 2
Microsoft .NET Framework 2.0 Service Pack 2 & &Windows Server 2008 for x64-based Systems Service Pack 2
Microsoft .NET Framework 3.0 Service Pack 2 & &Windows Server 2008 for 32-bit Systems Service Pack 2
Microsoft .NET Framework 3.0 Service Pack 2 & &Windows Server 2008 for Itanium-Based Systems Service Pack 2
Microsoft .NET Framework 3.0 Service Pack 2 & &Windows Server 2008 for x64-based Systems Service Pack 2
Microsoft .NET Framework 3.5 & &Windows 10 Version 1511 for 32-bit Systems
Microsoft .NET Framework 3.5 & &Windows 10 Version 1511 for x64-based Systems
Microsoft .NET Framework 3.5 & &Windows 10 Version 1607 for 32-bit Systems
Microsoft .NET Framework 3.5 & &Windows 10 Version 1607 for x64-based Systems
Microsoft .NET Framework 3.5 & &Windows 10 Version 1703 for 32-bit Systems
Microsoft .NET Framework 3.5 & &Windows 10 Version 1703 for x64-based Systems
Microsoft .NET Framework 3.5 & &Windows 10 Version 1709 for 32-bit Systems
Microsoft .NET Framework 3.5 & &Windows 10 Version 1709 for 64-based Systems
Microsoft .NET Framework 3.5 & &Windows 10 for 32-bit Systems
Microsoft .NET Framework 3.5 & &Windows 10 for x64-based Systems
Microsoft .NET Framework 3.5 & &Windows 8.1 for 32-bit systems
Microsoft .NET Framework 3.5 & &Windows 8.1 for x64-based systems
Microsoft .NET Framework 3.5 & &Windows Server 2012
Microsoft .NET Framework 3.5 & &Windows Server 2012 (Server Core installation)
Microsoft .NET Framework 3.5 & &Windows Server 2012 R2
Microsoft .NET Framework 3.5 & &Windows Server 2012 R2 (Server Core installation)
Microsoft .NET Framework 3.5 & &Windows Server 2016
Microsoft .NET Framework 3.5 & &Windows Server 2016 &(Server Core installation)
Microsoft .NET Framework 3.5 & &Windows Server, version 1709 &(Server Core Installation)
Microsoft .NET Framework 3.5.1 & &Windows 7 for 32-bit Systems Service Pack 1
Microsoft .NET Framework 3.5.1 & &Windows 7 for x64-based Systems Service Pack 1
Microsoft .NET Framework 3.5.1 & &Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
Microsoft .NET Framework 3.5.1 & &Windows Server 2008 R2 for x64-based Systems Service Pack 1
Microsoft .NET Framework 3.5.1 & &Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Microsoft .NET Framework 4.5.2 & &Windows 7 for 32-bit Systems Service Pack 1
Microsoft .NET Framework 4.5.2 & &Windows 7 for x64-based Systems Service Pack 1
Microsoft .NET Framework 4.5.2 & &Windows 8.1 for 32-bit systems
Microsoft .NET Framework 4.5.2 & &Windows 8.1 for x64-based systems
Microsoft .NET Framework 4.5.2 & &Windows RT 8.1
Microsoft .NET Framework 4.5.2 & &Windows Server 2008 R2 for x64-based Systems Service Pack 1
Microsoft .NET Framework 4.5.2 & &Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Microsoft .NET Framework 4.5.2 & &Windows Server 2008 for 32-bit Systems Service Pack 2
Microsoft .NET Framework 4.5.2 & &Windows Server 2008 for x64-based Systems Service Pack 2
Microsoft .NET Framework 4.5.2 & &Windows Server 2012
Microsoft .NET Framework 4.5.2 & &Windows Server 2012 (Server Core installation)
Microsoft .NET Framework 4.5.2 & &Windows Server 2012 R2
Microsoft .NET Framework 4.5.2 & &Windows Server 2012 R2 (Server Core installation)
Microsoft .NET Framework 4.6 & &Windows 10 for 32-bit Systems
Microsoft .NET Framework 4.6 & &Windows 10 for x64-based Systems
Microsoft .NET Framework 4.6 & &Windows Server 2008 for 32-bit Systems Service Pack 2
Microsoft .NET Framework 4.6 & &Windows Server 2008 for x64-based Systems Service Pack 2
Microsoft .NET Framework 4.6.1 & &Windows 10 Version 1511 for 32-bit Systems
Microsoft .NET Framework 4.6.1 & &Windows 10 Version 1511 for x64-based Systems
Microsoft .NET Framework 4.6.2/4.7 & &Windows 10 Version 1607 for 32-bit Systems
Microsoft .NET Framework 4.6.2/4.7 & &Windows 10 Version 1607 for x64-based Systems
Microsoft .NET Framework 4.6.2/4.7 & &Windows Server 2016
Microsoft .NET Framework 4.6.2/4.7 & &Windows Server 2016 &(Server Core installation)
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows 7 for 32-bit Systems Service Pack 1
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows 7 for x64-based Systems Service Pack 1
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows 8.1 for 32-bit systems
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows 8.1 for x64-based systems
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows RT 8.1
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows Server 2008 R2 for x64-based Systems Service Pack 1
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows Server 2012
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows Server 2012 (Server Core installation)
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows Server 2012 R2
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7 & &Windows Server 2012 R2 (Server Core installation)
Microsoft .NET Framework 4.7 & &Windows 10 Version 1703 for 32-bit Systems
Microsoft .NET Framework 4.7 & &Windows 10 Version 1703 for x64-based Systems
Microsoft .NET Framework 4.7.1 & &Windows 10 Version 1709 for 32-bit Systems
Microsoft .NET Framework 4.7.1 & &Windows 10 Version 1709 for 64-based Systems
Microsoft .NET Framework 4.7.1 & &Windows Server, version 1709 &(Server Core Installation)
3. ASP.NET Core 跨网站请求伪造漏洞CVE-
当使用易受攻击的项目模板创建 ASP.NET Core Web 应用程序时，存在跨网站请求伪造 (CSRF) 漏洞。成功利用此漏洞的攻击者可能会在未经受害者同意的情况下更改与其用户帐户关联的恢复代码。由于初始恢复代码将不再有效，因此该攻击的受害者可能会在失去对其 2FA 设备的访问权后，其帐户被永久锁定。此更新会更正 ASP.NET Core 项目模板。
漏洞影响：篡改
微软评级：中
影响产品：
ASP.NET Core 2.0
4. ASP.NET Core 特权提升漏洞CVE-
当使用易受攻击的项目模板创建的 ASP.NET Core Web 应用程序未能正确审查 Web 请求时，存在特权提升漏洞。成功利用此漏洞的攻击者可以执行内容注入攻击，并在登录用户的安全性上下文中运行脚本。要利用此漏洞，攻击者可能需要向用户发送经特殊设计的含恶意链接的电子邮件。或者，攻击者可能会使用聊天客户端以社交方式诱使用户单击恶意链接。但是，在任何情况下，若要利用此漏洞，用户都必须单击攻击者恶意设计的链接。此安全更新通过更正 ASP.NET Core 项目模板的方式来修复这个漏洞。
漏洞影响：特权提升
微软评级：重要
影响产品：
ASP.NET Core 2.0
ASP.NET Core 2.0 & &Windows 10 Version 1703 for 32-bit Systems
二、 微软Office安全更新
5. Microsoft Access 篡改漏洞CVE-
当 Microsoft Access 未正确地审查在设计视图内编辑的图像字段输入时，存在跨站点脚本筛选 (XSS) 漏洞。通过向受害者发送经特殊设计的文件，或通过在 Web 服务器上托管文件，攻击者可以利用此漏洞。成功利用此漏洞的攻击者随后可以在当前用户的安全性上下文中运行 Javascript。这些攻击可让攻击者阅读他们未授权阅读的内容、使用受害者的身份代表该用户在远程站点上执行操作以及在用户的浏览器中注入恶意内容。此安全更新程序通过帮助确保 Microsoft Access 能够正确审查图像字段值来修复这个漏洞。
漏洞影响：篡改
微软评级：重要
影响产品：
Microsoft SharePoint Enterprise Server 2013 Service Pack 1
Microsoft SharePoint Enterprise Server 2016
6. Microsoft Office 内存损坏漏洞CVE-
当软件无法正确处理内存中的对象时，Microsoft Office 软件中存在远程执行代码漏洞。成功利用此漏洞的攻击者可以在当前用户的上下文中运行任意代码。如果当前用户使用管理用户权限登录，那么攻击者就可以控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。与拥有管理用户权限的用户相比，帐户被配置为拥有较少系统用户权限的用户受到的影响更小。漏洞攻击要求用户使用受影响的 Microsoft Office 版本打开经特殊设计的文件。在电子邮件攻击情形中，攻击者可能通过向用户发送经特殊设计的文件并诱导用户打开该文件以攻击漏洞。在基于 Web 的攻击情形中，攻击者可能托管一个网站（或利用一个遭到入侵的网站来接受或托管用户提供的内容），其中包含一个经特殊设计的旨在利用此漏洞的文件。攻击者无法强迫用户访问此网站。相反，攻击者必须诱导用户点击链接，通常是在电子邮件或即时消息中放置诱导信息，让用户打开经特殊设计的文件。此安全更新通过更正 Microsoft Office 处理内存中对象的方式来修复此漏洞。
漏洞影响：远程执行代码
微软评级：重要
影响产品：
Microsoft Excel &2016 Click-to-Run (C2R) for 32-bit editions
Microsoft Excel &2016 Click-to-Run (C2R) for 64-bit editions
Microsoft Excel 2007 Service Pack 3
Microsoft Excel 2010 Service Pack 2 (32-bit editions)
Microsoft Excel 2010 Service Pack 2 (64-bit editions)
Microsoft Excel 2013 RT Service Pack 1
Microsoft Excel 2013 Service Pack 1 (32-bit editions)
Microsoft Excel 2013 Service Pack 1 (64-bit editions)
Microsoft Excel 2016 (32-bit edition)
Microsoft Excel 2016 (64-bit edition)
Microsoft Excel Viewer 2007 Service Pack 3
Microsoft Office Compatibility Pack Service Pack 3
7. Microsoft Word 内存损坏漏洞CVE-
当软件无法正确处理内存中的对象时，Microsoft Office 软件中存在远程执行代码漏洞。成功利用此漏洞的攻击者可以在当前用户的上下文中运行任意代码。如果当前用户使用管理用户权限登录，那么攻击者就可以控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。与拥有管理用户权限的用户相比，帐户被配置为拥有较少系统用户权限的用户受到的影响更小。漏洞攻击要求用户使用受影响的 Microsoft Office 或 Microsoft WordPad 软件版本打开经特殊设计的文件。在电子邮件攻击情形中，攻击者可能通过向用户发送经特殊设计的文件并诱导用户打开该文件以攻击漏洞。在基于 Web 的攻击情形中，攻击者可能托管一个网站（或利用一个遭到入侵的网站来接受或托管用户提供的内容），其中包含一个经特殊设计的旨在利用此漏洞的文件。攻击者无法强迫用户访问此网站。相反，攻击者必须诱导用户点击链接，通常是在电子邮件或即时消息中放置诱导信息，让用户打开经特殊设计的文件。此安全更新通过移除公式编辑器功能来修复漏洞。
漏洞影响：远程执行代码
微软评级：重要
影响产品：
Microsoft Office 2007 Service Pack 3
Microsoft Office 2010 Service Pack 2 (32-bit editions)
Microsoft Office 2010 Service Pack 2 (64-bit editions)
Microsoft Office 2013 Service Pack 1 (32-bit editions)
Microsoft Office 2013 Service Pack 1 (64-bit editions)
Microsoft Office 2016 (32-bit edition)
Microsoft Office 2016 (64-bit edition)
Microsoft Office 2016 Click-to-Run (C2R) for 32-bit editions
Microsoft Office 2016 Click-to-Run (C2R) for 64-bit editions
Microsoft Office Compatibility Pack Service Pack 3
Microsoft Word 2007 Service Pack 3
Microsoft Word 2010 Service Pack 2 (32-bit editions)
Microsoft Word 2010 Service Pack 2 (64-bit editions)
Microsoft Word 2013 RT Service Pack 1
Microsoft Word 2013 Service Pack 1 (32-bit editions)
Microsoft Word 2013 Service Pack 1 (64-bit editions)
Microsoft Word 2016 (32-bit edition)
Microsoft Word 2016 (64-bit edition)
8. Microsoft Office 内存损坏漏洞CVE-
当软件无法正确处理内存中的对象时，Microsoft Office 软件中存在远程执行代码漏洞。成功利用此漏洞的攻击者可以在当前用户的上下文中运行任意代码。如果当前用户使用管理用户权限登录，那么攻击者就可以控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。与拥有管理用户权限的用户相比，帐户被配置为拥有较少系统用户权限的用户受到的影响更小。漏洞攻击要求用户使用受影响的 Microsoft Office 版本打开经特殊设计的文件。在电子邮件攻击情形中，攻击者可能通过向用户发送经特殊设计的文件并诱导用户打开该文件以攻击漏洞。在基于 Web 的攻击情形中，攻击者可能托管一个网站（或利用一个遭到入侵的网站来接受或托管用户提供的内容），其中包含一个经特殊设计的旨在利用此漏洞的文件。攻击者无法强迫用户访问此网站。相反，攻击者必须诱导用户点击链接，通常是在电子邮件或即时消息中放置诱导信息，让用户打开经特殊设计的文件。此安全更新通过更正 Microsoft Office 处理内存中对象的方式来修复此漏洞。
漏洞影响：远程执行代码
微软评级：重要
影响产品：
Microsoft Office 2010 Service Pack 2 (32-bit editions)
Microsoft Office 2010 Service Pack 2 (64-bit editions)
Microsoft Office 2013 RT Service Pack 1
Microsoft Office 2013 Service Pack 1 (32-bit editions)
Microsoft Office 2013 Service Pack 1 (64-bit editions)
Microsoft Office 2016 (32-bit edition)
Microsoft Office 2016 (64-bit edition)
Microsoft Office 2016 Click-to-Run (C2R) for 32-bit editions
Microsoft Office 2016 Click-to-Run (C2R) for 64-bit editions
9. Microsoft SharePoint XSS 漏洞CVE-、CVE-
当 Microsoft SharePoint Server 未正确地审查发往受影响的 SharePoint 服务器的经特殊设计的 Web 请求时，存在特权提升漏洞。经过身份验证的攻击者可能通过向受影响的 SharePoint 服务器发送经特殊设计的请求来利用此漏洞。成功利用这些漏洞的攻击者可能在受影响的系统上执行跨站点脚本攻击，并在当前用户的安全上下文中运行脚本。这些攻击可让攻击者阅读他们未授权阅读的内容、使用受害者的身份代表该用户在 SharePoint 网站上执行操作（例如，更改权限和删除内容）以及在用户的浏览器中注入恶意内容。该安全更新通过帮助确保 SharePoint Server 正确审查 Web 请求来修复此漏洞。
漏洞影响：欺骗
微软评级：重要
影响产品：
Microsoft SharePoint Enterprise Server 2013 Service Pack 1
Microsoft SharePoint Enterprise Server 2016
Microsoft SharePoint Server 2010 Service Pack 2
10. Microsoft Office Outlook 内存损坏漏洞CVE-、CVE-
一个远程代码执行漏洞存在于 Microsoft Outlook 解析巧尽心思构建的电子邮件的方式。攻击者成功利用此漏洞可以控制受影响的系统。攻击者可随后安装程序;查看、 更改或删除数据;或者创建拥有完全用户权限的新帐户。
利用此漏洞需要用户打开特制的文件，与受影响的版本的 Microsoft Outlook。在电子邮件攻击情形中，攻击者可以通过向用户发送特制的文件，然后诱使用户打开该文件来利用此漏洞。
此漏洞通过纠正 Microsoft Outlook 解析特别的方式来制作的安全更新地址的电子邮件消息。
漏洞影响：远程执行代码
微软评级：重要
影响产品：
Microsoft Office 2016 Click-to-Run (C2R) for 32-bit editions
Microsoft Office 2016 Click-to-Run (C2R) for 64-bit editions
Microsoft Outlook 2007 Service Pack 3
Microsoft Outlook 2010 Service Pack 2 (32-bit editions)
Microsoft Outlook 2010 Service Pack 2 (64-bit editions)
Microsoft Outlook 2013 RT Service Pack 1
Microsoft Outlook 2013 Service Pack 1 (32-bit editions)
Microsoft Outlook 2013 Service Pack 1 (64-bit editions)
Microsoft Outlook 2016 (32-bit edition)
Microsoft Outlook 2016 (64-bit edition)
11. Microsoft Office 内存损坏漏洞CVE-
办公室 RTF 远程代码执行漏洞微软办公软件中存在时办公软件无法正确处理 RTF 文件。攻击者成功利用此漏洞可以在当前用户的上下文中运行任意代码。如果当前用户使用管理用户权限登录，攻击者可以控制受影响的系统。攻击者可随后安装程序;查看、 更改或删除数据;或者创建拥有完全用户权限的新帐户。其帐户被配置为拥有较少用户权限在系统上的用户可能比具有管理用户权限的用户受到的影响。
利用此漏洞需要用户打开特制的文件，与受影响的版本的微软办公软件。在电子邮件攻击情形中，攻击者可以通过向用户发送特制的文件并说服用户打开该文件来利用此漏洞。在基于 web 的攻击情形中，攻击者可以承载网站 （或利用被感染的网站接受或承载用户提供的内容），包含了旨在利用此漏洞的特制的文件。攻击者没有任何办法强迫用户访问该网站。相反，攻击者必须说服用户单击某个链接，通常是通过电子邮件或即时消息中的诱惑，然后说服他们打开特制的文件。安全更新通过改变微软 Office 软件处理 rtf 格式内容的方式解决此漏洞。
漏洞影响：远程执行代码
微软评级：严重
影响产品：
Microsoft Office 2010 Service Pack 2 (32-bit editions)
Microsoft Office 2010 Service Pack 2 (64-bit editions)
Microsoft Office 2016 for Mac
Microsoft Office Compatibility Pack Service Pack 3
Microsoft Office Online Server 2016
Microsoft Office Web Apps 2010 Service Pack 2
Microsoft Office Web Apps Server 2013 Service Pack 1
Microsoft Office Word Viewer
Microsoft SharePoint Enterprise Server 2013 Service Pack 1
Microsoft SharePoint Enterprise Server 2016
Microsoft SharePoint Server 2010 Service Pack 2
Microsoft Word 2007 Service Pack 3
Microsoft Word 2010 Service Pack 2 (32-bit editions)
Microsoft Word 2010 Service Pack 2 (64-bit editions)
Microsoft Word 2013 RT Service Pack 1
Microsoft Word 2013 Service Pack 1 (32-bit editions)
Microsoft Word 2013 Service Pack 1 (64-bit editions)
Microsoft Word 2016 (32-bit edition)
Microsoft Word 2016 (64-bit edition)
12. Microsoft Word 内存损坏漏洞CVE-、CVE-、CVE-、CVE-、CVE-、CVE-、CVE-
当软件无法正确处理内存中的对象时，Microsoft Office 软件中存在远程执行代码漏洞。成功利用此漏洞的攻击者可以在当前用户的上下文中运行任意代码。如果当前用户使用管理用户权限登录，那么攻击者就可以控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。与拥有管理用户权限的用户相比，帐户被配置为拥有较少系统用户权限的用户受到的影响更小。漏洞攻击要求用户使用受影响的 Microsoft Office 或 Microsoft WordPad 软件版本打开经特殊设计的文件。在电子邮件攻击情形中，攻击者可能通过向用户发送经特殊设计的文件并诱导用户打开该文件以攻击漏洞。在基于 Web 的攻击情形中，攻击者可能托管一个网站（或利用一个遭到入侵的网站来接受或托管用户提供的内容），其中包含一个经特殊设计的旨在利用此漏洞的文件。攻击者无法强迫用户访问此网站。相反，攻击者必须诱导用户点击链接，通常是在电子邮件或即时消息中放置诱导信息，让用户打开经特殊设计的文件。此安全更新通过移除公式编辑器功能来修复漏洞。
漏洞影响：远程执行代码
微软评级：重要
影响产品：
Microsoft Office 2007 Service Pack 3
Microsoft Office 2010 Service Pack 2 (32-bit editions)
Microsoft Office 2010 Service Pack 2 (64-bit editions)
Microsoft Office 2013 Service Pack 1 (32-bit editions)
Microsoft Office 2013 Service Pack 1 (64-bit editions)
Microsoft Office 2016 (32-bit edition)
Microsoft Office 2016 (64-bit edition)
Microsoft Office 2016 Click-to-Run (C2R) for 32-bit editions
Microsoft Office 2016 Click-to-Run (C2R) for 64-bit editions
Microsoft Office Compatibility Pack Service Pack 3
Microsoft Word 2007 Service Pack 3
Microsoft Word 2010 Service Pack 2 (32-bit editions)
Microsoft Word 2010 Service Pack 2 (64-bit editions)
Microsoft Word 2013 RT Service Pack 1
Microsoft Word 2013 Service Pack 1 (32-bit editions)
Microsoft Word 2013 Service Pack 1 (64-bit editions)
Microsoft Word 2016 (32-bit edition)
Microsoft Word 2016 (64-bit edition)
13. Microsoft Office 内存损坏漏洞CVE-、CVE-
当软件无法正确处理内存中的对象时，Microsoft Office 软件中存在远程执行代码漏洞。成功利用此漏洞的攻击者可以在当前用户的上下文中运行任意代码。如果当前用户使用管理用户权限登录，那么攻击者就可以控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。与拥有管理用户权限的用户相比，帐户被配置为拥有较少系统用户权限的用户受到的影响更小。漏洞攻击要求用户使用受影响的 Microsoft Office 版本打开经特殊设计的文件。在电子邮件攻击情形中，攻击者可能通过向用户发送经特殊设计的文件并诱导用户打开该文件以攻击漏洞。在基于 Web 的攻击情形中，攻击者可能托管一个网站（或利用一个遭到入侵的网站来接受或托管用户提供的内容），其中包含一个经特殊设计的旨在利用此漏洞的文件。攻击者无法强迫用户访问此网站。相反，攻击者必须诱导用户点击链接，通常是在电子邮件或即时消息中放置诱导信息，让用户打开经特殊设计的文件。此安全更新通过更正 Microsoft Office 处理内存中对象的方式来修复此漏洞。
漏洞影响：远程执行代码
微软评级：重要
影响产品：
Microsoft Office 2010 Service Pack 2 (32-bit editions)
Microsoft Office 2010 Service Pack 2 (64-bit editions)
Microsoft Office 2016 Click-to-Run (C2R) for 32-bit editions
Microsoft Office 2016 Click-to-Run (C2R) for 64-bit editions
Microsoft Office 2016 for Mac
Microsoft Office Compatibility Pack Service Pack 3
Microsoft Word 2007 Service Pack 3
Microsoft Word 2010 Service Pack 2 (32-bit editions)
Microsoft Word 2010 Service Pack 2 (64-bit editions)
Microsoft Word 2013 RT Service Pack 1
Microsoft Word 2013 Service Pack 1 (32-bit editions)
Microsoft Word 2013 Service Pack 1 (64-bit editions)
Microsoft Word 2016 (32-bit edition)
Microsoft Word 2016 (64-bit edition)
三、 微软IE浏览器和Edge浏览器的安全更新
14. Microsoft Edge 特权提升漏洞CVE-
当 Microsoft Edge 不正确地强制实施跨域策略时会存在特权提升漏洞，可能允许攻击者访问某个域中信息并将其插入其他域。在基于 Web 的攻击情形中，攻击者可能拥有一个网站用于试图利用此漏洞。另外，已入侵网站以及接受或托管用户提供的内容的网站可能包含可利用此漏洞的经特殊设计的内容。不过，在所有情况下，攻击者无法强制用户查看由攻击者控制的内容。相反，攻击者需要诱使用户执行操作。例如，攻击者可能哄骗用户单击链接以使用户链接到攻击者的网站。成功利用此漏洞的攻击者可以在受影响的 Microsoft Edge 版本中提升特权。此安全更新通过帮助确保在 Microsoft Edge 中正确实施跨域策略来修复此漏洞。
漏洞影响：特权提升
微软评级：重要
影响产品：
Microsoft Edge & &Windows 10 Version 1511 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1511 for x64-based Systems
Microsoft Edge & &Windows 10 Version 1607 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1607 for x64-based Systems
Microsoft Edge & &Windows 10 Version 1703 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1703 for x64-based Systems
Microsoft Edge & &Windows 10 Version 1709 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1709 for 64-based Systems
Microsoft Edge & &Windows 10 for 32-bit Systems
Microsoft Edge & &Windows 10 for x64-based Systems
Microsoft Edge & &Windows Server 2016
15. Microsoft Edge 信息泄漏漏洞CVE-
当 Microsoft Edge PDF 阅读器不正确地处理内存中对象时，存在信息泄漏漏洞。成功利用此漏洞的攻击者可以获取信息，从而进一步入侵用户系统。若要利用此漏洞，在基于 Web 的攻击情形中，攻击者可能会托管一个包含恶意 PDF 内容的网站。另外，受到破坏的网站以及接受或托管用户提供的内容的网站可能包含可利用此漏洞的经特殊设计的 PDF 内容。不过在任何情况下，攻击者都无法强制用户查看由攻击者控制的内容。相反，攻击者必须诱使用户执行操作。例如，攻击者可能哄骗用户单击指向攻击者网站的链接。此安全更新通过修改 Microsoft Edge PDF 阅读器处理内存中对象的方式来修复此漏洞。
漏洞影响：信息泄漏
微软评级：重要
影响产品：
Microsoft Edge & &Windows 10 Version 1511 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1511 for x64-based Systems
Microsoft Edge & &Windows 10 Version 1607 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1607 for x64-based Systems
Microsoft Edge & &Windows 10 Version 1703 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1703 for x64-based Systems
Microsoft Edge & &Windows 10 Version 1709 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1709 for 64-based Systems
Microsoft Edge & &Windows 10 for 32-bit Systems
Microsoft Edge & &Windows 10 for x64-based Systems
Microsoft Edge & &Windows Server 2016
16. 脚本引擎信息泄漏漏洞CVE-、CVE-、CVE-
当脚本引擎不正确地处理内存中对象时，存在信息泄漏漏洞。成功利用此漏洞的攻击者可以获取信息，从而进一步入侵用户系统。在基于 Web 的攻击情形中，攻击者可能拥有一个网站以试图利用此漏洞。另外，受到破坏的网站以及接受或托管用户提供的内容的网站可能包含可利用此漏洞的经特殊设计的内容。不过，在任何情况下，攻击者都无法强制用户查看由攻击者控制的内容。相反，攻击者必须诱使用户执行操作。例如，攻击者可能哄骗用户单击指向攻击者网站的链接。此安全更新程序通过更改脚本引擎处理内存中对象的方式来修复此漏洞。
漏洞影响：信息泄漏
微软评级：严重
影响产品：
ChakraCore
Microsoft Edge & &Windows 10 Version 1511 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1511 for x64-based Systems
Microsoft Edge & &Windows 10 Version 1607 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1607 for x64-based Systems
Microsoft Edge & &Windows 10 Version 1703 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1703 for x64-based Systems
Microsoft Edge & &Windows 10 Version 1709 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1709 for 64-based Systems
Microsoft Edge & &Windows Server 2016
17. 脚本引擎内存损坏漏洞CVE-、CVE-、CVE-、CVE-、CVE-、CVE-、CVE-、CVE-、CVE-、CVE-、CVE-、CVE-、CVE-
脚本引擎在 Microsoft 浏览器中处理内存中对象的方式中存在远程执行代码漏洞。该漏洞可能以一种攻击者可以在当前用户的上下文中执行任意代码的方式损坏内存。成功利用该漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，成功利用此漏洞的攻击者便可控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。在基于 Web 的攻击情形中，攻击者可能操控经特殊设计的网站，通过 Microsoft 浏览器利用漏洞进行攻击，然后诱使用户查看该网站。攻击者也可能在托管浏览器呈现引擎的应用程序或 Microsoft Office 文档中嵌入标有“安全初始化”的 ActiveX 控件。攻击者还可能利用被入侵的网站以及接受或托管用户提供的内容或广告的网站。这些网站可能包含可以利用此漏洞的经特殊设计的内容。此安全更新程序通过修改脚本引擎处理内存中对象的方式来修复此漏洞。
漏洞影响：远程执行代码
微软评级：严重
影响产品：
ChakraCore
Internet Explorer 10 & &Windows Server 2012
Internet Explorer 11 & &Windows 10 Version 1511 for 32-bit Systems
Internet Explorer 11 & &Windows 10 Version 1511 for x64-based Systems
Internet Explorer 11 & &Windows 10 Version 1607 for 32-bit Systems
Internet Explorer 11 & &Windows 10 Version 1607 for x64-based Systems
Internet Explorer 11 & &Windows 10 Version 1703 for 32-bit Systems
Internet Explorer 11 & &Windows 10 Version 1703 for x64-based Systems
Internet Explorer 11 & &Windows 10 Version 1709 for 32-bit Systems
Internet Explorer 11 & &Windows 10 Version 1709 for 64-based Systems
Internet Explorer 11 & &Windows 10 for 32-bit Systems
Internet Explorer 11 & &Windows 10 for x64-based Systems
Internet Explorer 11 & &Windows 7 for 32-bit Systems Service Pack 1
Internet Explorer 11 & &Windows 7 for x64-based Systems Service Pack 1
Internet Explorer 11 & &Windows 8.1 for 32-bit systems
Internet Explorer 11 & &Windows 8.1 for x64-based systems
Internet Explorer 11 & &Windows RT 8.1
Internet Explorer 11 & &Windows Server 2008 R2 for x64-based Systems Service Pack 1
Internet Explorer 11 & &Windows Server 2012 R2
Internet Explorer 11 & &Windows Server 2016
Internet Explorer 9 & &Windows Server 2008 for 32-bit Systems Service Pack 2
Internet Explorer 9 & &Windows Server 2008 for x64-based Systems Service Pack 2
Microsoft Edge & &Windows 10 Version 1511 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1511 for x64-based Systems
Microsoft Edge & &Windows 10 Version 1607 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1607 for x64-based Systems
Microsoft Edge & &Windows 10 Version 1703 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1703 for x64-based Systems
Microsoft Edge & &Windows 10 Version 1709 for 32-bit Systems
Microsoft Edge & &Windows 10 Version 1709 for 64-based Systems
Microsoft Edge & &Windows 10 for 32-bit Systems
Microsoft Edge & &Windows 10 for x64-based Systems
Microsoft Edge & &Windows Server 2016
18. 脚本引擎安全功能绕过CVE-
安全功能绕过漏洞存在于允许绕过控制流防护 (CFG) 的 Microsoft Chakra 脚本引擎。CFG 绕过漏洞本身并不允许执行任意代码。不过，攻击者可以将此 CFG 绕过漏洞与其他漏洞（如远程执行代码漏洞）相结合，从而在目标系统上运行任意代码。要利用 CFG 绕过漏洞，攻击者必须诱使用户登录并运行 Microsoft Chakra 脚本引擎。然后，攻击者还需要诱使用户浏览恶意网站。此安全更新通过帮助确保 Microsoft Chakra 脚本引擎正确处理访问内存来修复 CFG 绕过漏洞。
漏洞影响：安全功能绕过
微软评级：重要
影响产品：
ChakraCore
四、 Windows驱动程序安全更新
19. OpenType 字体驱动程序特权提升漏洞CVE-
当 Windows Adobe Type Manager 字体驱动程序 (ATMFD.dll) 未能正确处理内存中的对象时，存在特权提升漏洞。成功利用此漏洞的攻击者可执行任意代码，并可控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。若要利用此漏洞，攻击者首先必须登录到目标系统并运行经特殊设计的应用程序。此安全更新程序通过更正 ATMFD.dll 处理内存中对象的方式来修复这个漏洞。
漏洞影响：信息泄漏
微软评级：重要
影响产品：
Windows 7 for 32-bit Systems Service Pack 1
Windows 7 for x64-based Systems Service Pack 1
Windows 8.1 for 32-bit systems
Windows 8.1 for x64-based systems
Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for Itanium-Based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
20. ATMFD.dll 信息泄漏漏洞CVE-
一个信息泄露漏洞存在于 Adobe Type Manager 字体驱动程序 (ATMFD.dll)，当它无法正确处理内存中的对象。攻击者成功利用此漏洞可以获得进一步的妥协的信息用户的系统。
有多种方式，攻击者可以利用此漏洞，如通过诱使用户打开特制的文件，或通过诱使用户访问不受信任的网页。
此更新通过纠正 ATMFD.dll 如何处理内存中的对象来解决该漏洞。
漏洞影响：信息泄漏
微软评级：重要
影响产品：
Windows 10 Version 1511 for 32-bit Systems
Windows 10 Version 1511 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1703 for 32-bit Systems
Windows 10 Version 1703 for x64-based Systems
Windows 10 Version 1709 for 32-bit Systems
Windows 10 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 7 for 32-bit Systems Service Pack 1
Windows 7 for x64-based Systems Service Pack 1
Windows 8.1 for 32-bit systems
Windows 8.1 for x64-based systems
Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for Itanium-Based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 &(Server Core installation)
Windows Server, version 1709 &(Server Core Installation)
21. SMB 服务器特权提升漏洞CVE-
当使用有效凭据的攻击者试图在相同计算机上通过 SMB 协议打开经特殊设计的文件时，Microsoft 服务器消息块 (SMB) 服务器存在特权提升漏洞。成功利用此漏洞的攻击者可以在操作系统中绕过特定安全检查。若要利用此漏洞，攻击者必须先必须登录系统。然后，攻击者可以运行一个为利用此漏洞而经特殊设计的应用程序，从而控制受影响的系统。此更新通过更正 Windows SMB 服务器处理此类经特殊设计的文件的方式来修复此漏洞。
漏洞影响：特权提升
微软评级：重要
影响产品：
Windows 10 Version 1511 for 32-bit Systems
Windows 10 Version 1511 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1703 for 32-bit Systems
Windows 10 Version 1703 for x64-based Systems
Windows 10 Version 1709 for 32-bit Systems
Windows 10 Version 1709 for 64-based Systems
Windows 10 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 7 for 32-bit Systems Service Pack 1
Windows 7 for x64-based Systems Service Pack 1
Windows 8.1 for 32-bit systems
Windows 8.1 for x64-based systems
Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for Itanium-Based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 &(Server Core installation)
Windows Server, version 1709 &(Server Core Installation)
22. Win32k 特权提升漏洞CVE-、CVE-
当 Windows 内核无法正确处理内存中的对象时，存在特权提升漏洞。成功利用此漏洞的攻击者可以在内核模式中运行任意代码。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。若要利用此漏洞，攻击者首先必须登录到系统。然后攻击者可以运行一个经特殊设计的应用程序，从而控制受影响的系统。此更新通过更正 Windows 内核处理内存中对象的方式来修复此漏洞。
漏洞影响：特权提升
微软评级：重要
影响产品：
Windows 10 Version 1511 for 32-bit Systems
Windows 10 Version 1511 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1703 for 32-bit Systems
Windows 10 Version 1703 for x64-based Systems
Windows 10 Version 1709 for 32-bit Systems
Windows 10 Version 1709 for 64-based Systems
Windows 10 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 8.1 for 32-bit systems
Windows 8.1 for x64-based systems
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 &(Server Core installation)
Windows Server, version 1709 &(Server Core Installation)
23. Windows 特权提升漏洞CVE-、CVE-
Windows 内核 API 执行权限的方式中存在特权提升漏洞。成功利用此漏洞的攻击者可以模拟进程、插入跨进程通信或中断系统功能。为了利用此漏洞，在本地经过身份验证的攻击者可能会运行经特殊设计应用程序。此安全更新程序通过帮助确保 Windows 内核 API 正确执行权限来修复此漏洞。
漏洞影响：特权提升
微软评级：重要
影响产品：
Windows 10 Version 1511 for 32-bit Systems
Windows 10 Version 1511 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1703 for 32-bit Systems
Windows 10 Version 1703 for x64-based Systems
Windows 10 Version 1709 for 32-bit Systems
Windows 10 Version 1709 for 64-based Systems
Windows 10 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 8.1 for 32-bit systems
Windows 8.1 for x64-based systems
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 &(Server Core installation)
Windows Server, version 1709 &(Server Core Installation)
24. Windows 内核信息泄漏漏洞CVE-、CVE-、CVE-
信息泄漏漏洞存在于 Windows 内核中，可允许攻击者检索可能导致内核地址空间布局随机化 (ASLR)绕过的信息。成功利用此漏洞的攻击者可以检索内核对象的内存地址。若要利用该漏洞，攻击者必须登录到受影响的系统并运行经特殊设计的应用程序。此安全更新程序通过更正 Windows 内核处理内存地址的方式来修复这个漏洞。
漏洞影响：信息泄漏
微软评级：重要
影响产品：
Windows 10 Version 1511 for 32-bit Systems
Windows 10 Version 1511 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1703 for 32-bit Systems
Windows 10 Version 1703 for x64-based Systems
Windows 10 Version 1709 for 32-bit Systems
Windows 10 Version 1709 for 64-based Systems
Windows 10 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 7 for 32-bit Systems Service Pack 1
Windows 7 for x64-based Systems Service Pack 1
Windows 8.1 for 32-bit systems
Windows 8.1 for x64-based systems
Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for Itanium-Based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 &(Server Core installation)
Windows Server, version 1709 &(Server Core Installation)
25. Windows 拒绝服务漏洞CVE-
一个拒绝服务漏洞存在于 Windows 处理内存中的对象的方式。攻击者成功利用此漏洞可能导致目标系统停止响应。请注意，拒绝服务情况不允许攻击者执行代码或提升用户权限。然而，拒绝服务条件可以防止授权的用户使用系统资源。
此安全更新通过纠正 Windows 处理内存中的对象的方式来解决该漏洞。
漏洞影响：拒绝服务
微软评级：重要
影响产品：
Windows 10 Version 1511 for 32-bit Systems
Windows 10 Version 1511 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1703 for 32-bit Systems
Windows 10 Version 1703 for x64-based Systems
Windows 10 Version 1709 for 32-bit Systems
Windows 10 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 8.1 for 32-bit systems
Windows 8.1 for x64-based systems
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 &(Server Core installation)
Windows Server, version 1709 &(Server Core Installation)
26. Windows Linux 子系统特权提升漏洞CVE-
由于 Windows Linux 子系统出现整数溢出，存在特权提升漏洞。成功利用此漏洞的攻击者可能会利用提升的特权执行代码。为了利用此漏洞，在本地经过身份验证的攻击者可能会运行经特殊设计应用程序。此安全更新通过更正 Windows Linux 子系统处理内存中对象的方式来修复漏洞。
漏洞影响：特权提升
微软评级：重要
影响产品：
Windows 10 Version 1703 for 32-bit Systems
Windows 10 Version 1703 for x64-based Systems
Windows 10 Version 1709 for 32-bit Systems
Windows 10 Version 1709 for 64-based Systems
Windows Server, version 1709 &(Server Core Installation)
五、 Windows组件安全更新
27. Windows 图形组件信息泄漏漏洞CVE-
当 Windows GDI 组件不正确地泄漏其内存中的内容时，存在信息泄漏漏洞。成功利用此漏洞的攻击者可以获取信息，从而进一步入侵用户系统。攻击者可能通过多种方式利用此漏洞，包括诱使用户打开经特殊设计的文档或访问不受信任的网页。此更新通过更正 Windows GDI 组件处理内存中对象的方式来修复漏洞。
漏洞影响：信息泄漏
微软评级：重要
影响产品：
Windows 7 for 32-bit Systems Service Pack 1
Windows 7 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for Itanium-Based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
28. Microsoft 颜色管理信息泄漏漏洞CVE-
颜色管理模块 (ICM32.dll) 处理内存中对象的方式存在信息泄漏漏洞。此漏洞允许攻击者检索信息以绕过目标系统上的用户模式 ASLR（地址空间布局随机化）。信息泄漏本身不允许任意代码执行；但是，如果攻击者结合使用其他漏洞，则可能允许运行任意代码。在基于 Web 的攻击情形中，攻击者可能托管一个经特殊设计的网站，旨在利用这些漏洞，然后诱使用户查看该网站。攻击者无法强制用户查看由攻击者控制的内容。相反，攻击者必须诱使用户采取行动，方法通常是让用户单击电子邮件或即时消息中的链接以使用户链接到攻击者的网站，或者让用户打开通过电子邮件发送的附件。此安全更新通过更正颜色管理模块处理内存中对象的方式来修复此漏洞。
漏洞影响：信息泄漏
微软评级：重要
影响产品：
Windows 7 for 32-bit Systems Service Pack 1
Windows 7 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for Itanium-Based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
下一篇：无}