微软于北京时间8月10日清晨发布13个安全补丁,其中2个最高级别为严重等级,9个为重要等级,共修复了 Microsoft Windows,Internet Explorer 与 Microsoft .NET Framework 等中的22个安全漏洞,其中7个漏洞涉及 IE 浏览器。请大家根据补丁严重性程度、利用指数和自身环境综合考量部署顺序。请特别注意,有若干漏洞在较旧版本与最新软件版本系统中的代码执行利用评估指数都为1,建议优先部署针对这些漏洞的补丁。MS11-057 为 Internet Explorer 的累积性安全更新,此安全更新可解决 IE 浏览器中五个秘密报告的漏洞和两个公开披露的漏洞。 最严重的漏洞可能在用户使用 Internet Explorer 查看特制网页时允许远程执行代码,请用户优先部署。
Internet Explorer 的累积性安全更新 (2559049) 此安全更新可解决 Internet Explorer 中五个秘密报告的漏洞和两个公开披露的漏洞。 最严重的漏洞可能在用户使用 Internet Explorer 查看特制网页时允许远程执行代码。 成功利用这些漏洞的攻击者可以获得与本地用户相同的用户权限。 那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。
DNS 服务器中的漏洞可能允许远程执行代码 (2562485) 此安全更新可解决 Windows DNS 服务器中两个秘密报告的漏洞。 如果攻击者注册域、创建 NAPTR DNS 资源记录,然后将特制 NAPTR 查询发送到目标 DNS 服务器,则这些漏洞中较为严重的漏洞可能允许远程执行代码。 没有启用 DNS 角色的服务器不受威胁。
Data Access Components 中的漏洞可能允许远程执行代码(2560656) 此安全更新解决了 Microsoft Windows 中一个秘密报告的漏洞。 如果用户打开与特制库文件位于同一网络目录下的合法 Excel 文件(如 .xlsx 文件),此漏洞可能允许远程执行代码。 成功利用此漏洞的攻击者可以获得与登录用户相同的用户权限。 那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。
路由和远程访问中的漏洞可能允许特权提升 (2546250) 此安全更新可解决远程桌面 Web 访问中一个秘密报告的漏洞。 该漏洞是一个跨站点脚本执行 (XSS) 漏洞,可能允许特权提升,使攻击者能够在目标用户的上下文中在站点上执行任意命令。 当浏览到 Internet 区域中的远程桌面 Web 访问服务器时,Internet Explorer 8 和 Internet Explorer 9 中的 XSS 筛选器可针对其用户阻止此攻击。 默认情况下,Internet Explorer 8 和 Internet Explorer 9 中的 XSS 筛选器在 Intranet 区域中未启用。
远程访问服务器 NDISTAPI 驱动程序中的漏洞可能允许特权提升(2566454) 此安全更新解决了 Windows XP 和 Windows Server 2003 所有受支持的版本中一个秘密报告的漏洞。对于 Windows XP 和 Windows Server 2003 的所有受支持版本,此安全更新的等级为“重要”。Windows Vista、Windows Server 2008、Windows 7 和 Windows Server 2008 R2 不受此漏洞影响。 如果攻击者登录受影响的系统,并运行设计为利用该漏洞并完全控制受影响的系统的特制应用程序,该漏洞可能允许特权提升。 攻击者必须拥有有效的登录凭据并能本地登录才能利用此漏洞。
Windows 客户端/服务器运行时子系统中的漏洞可能允许特权提升 (2567680) 此安全更新解决了 Microsoft Windows 中一个秘密报告的漏洞。 如果攻击者登录受影响的系统,并运行设计为将设备事件消息发送到较高完整性进程的特制应用程序,该漏洞可能允许特权提升。 攻击者必须拥有有效的登录凭据并能本地登录才能利用此漏洞。
TCP/IP IP 堆栈中的漏洞可能允许拒绝服务 (2563894) 此安全更新可解决 Microsoft Windows 中两个秘密报告的漏洞。 如果攻击者向目标系统发送一系列特制 Internet 控制消息协议 (ICMP) 消息,或者向服务于 Web 内容并且启用了基于 URL 的服务质量 (QoS) 功能,则该漏洞可能允许拒绝服务。
Microsoft Chart 控件中的漏洞可能导致信息泄露 (2567943) 此安全更新可消除 Microsoft .NET 图表控件中的一个秘密报告的漏洞。 如果攻击者向托管图表控件的受影响服务器发送特制的 GET 请求,则该漏洞可能会导致信息泄露。 请注意,攻击者无法利用此漏洞来执行代码或直接提升他们的用户权限,但可用于检索将试图进一步危及受影响系统安全的信息。 仅使用 Microsoft 图表控件的 Web 应用程序会受这个问题影响。 .NET Framework 的默认安装不受影响。
Windows Kernel 中的漏洞可能允许拒绝服务 (2556532) 此安全更新解决了 Microsoft Windows 中一个秘密报告的漏洞。 如果用户访问包含特制文件的网络共享(或者访问指向网络共享的网站),则该漏洞可能允许拒绝服务。 但是在所有情况下,攻击者无法强制用户访问此类网络共享或网站。 相反,攻击者必须说服用户访问网站或网络共享,方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接。