发布日期： 2016 年 6 月 14 日
版本： 1.0
执行摘要此安全更新程序可修复 Microsoft Windows 的 JScript 和 VBScript 脚本引擎中的多个漏洞。 如果用户访问经特殊设计的网站，那么这些漏洞可能允许远程执行代码。 成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。 如果当前用户使用管理用户权限登录，则成功利用这些漏洞的攻击者可以控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。
对于 Windows Vista 的受支持版本上的 JScript 和 VBScript 脚本引擎的受影响版本，此安全更新等级为“严重”，对于 Windows Server 2008 和 Windows Server 2008 R2 上的这些受影响版本，此安全更新等级为“中等”。 有关详细信息，请参阅“受影响的软件”部分。
此更新通过修改 JScript 和 VBScript 脚本引擎处理内存中对象的方式来修复这些漏洞。 有关漏洞的详细信息，请参阅“漏洞信息”部分。
更新程序 FAQ在我知道了安装在我系统中的 JScript 或 VBScript 脚本引擎版本之后，我去哪里获得更新？
本公告中受影响的软件适用于运行 Internet Explorer 7 或更早版本的系统。 系统运行 Internet Explorer 8 或更高版本的客户应使用 Internet Explorer 累积更新 (MS16-063)，也可以修复此公告中讨论的漏洞。
为什么我在此累积安全更新的程序包中同时看到了 JScript.dll 和 VBScript.dll？
此安全更新附带适用于 JScript 和 VBScript 脚本引擎的累积更新。 此发布中包含两个引擎，受本公告中所述安全修补程序影响的组件已在上述“受影响的软件”部分列出。
如何确定我的系统上安装了哪个版本的 JScript 和 VBScript 脚本引擎？
JScript 和 VBScript 脚本引擎与 Microsoft Windows 受支持版本一起安装。 此外，在系统上安装 Internet Explorer 的较新版本可以更改安装的 JScript 和 VBScript 脚本引擎版本。
若要确定系统上安装的 JScript 或 VBScript 脚本引擎的版本，请执行以下步骤：
打开 Windows Explorer。导航到 %systemroot%\system32 目录。对于 VBScript，右键单击 vbscript.dll，选择“属性”，然后单击“详细信息”选项卡。对于 JScript，右键单击 jscript.dll，选择“属性”，然后单击“详细信息”选项卡。版本号将在“文件版本”字段中列出。 如果您的文件版本以 5.8 开头，例如 5.8.7600.16385，则您的系统上安装了 VBScript 5.8。
在我知道了安装在我系统中的 JScript 或 VBScript 脚本引擎版本之后，我去哪里获得更新？
此公告中受影响的软件适用于未安装 Internet Explorer 的系统和已安装 Internet Explorer 7 或更早版本的系统。 系统运行 Internet Explorer 8 或更高版本的客户应使用 Internet Explorer 累积更新 (MS16-063)，也可以修复此公告中讨论的漏洞。
在 Internet Explorer 中处理内存中的对象时，JScript 9、JScript 和 VBScript 引擎的呈现方式存在多个远程执行代码漏洞。 这些漏洞可能会损坏内存，具体是通过攻击者在当前用户的上下文中执行任意代码。 成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。 如果当前用户使用管理用户权限登录，则成功利用这些漏洞的攻击者可以控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。
在基于 Web 的攻击情形中，攻击者可能拥有一个旨在通过 Internet Explorer 利用漏洞的经特殊设计的网站，然后诱使用户查看该网站。 攻击者也可能在托管 IE 呈现引擎的应用程序或 Microsoft Office 文档中嵌入标有“安全初始化”的 ActiveX 控件。 攻击者还可能利用受到破坏的网站以及接受或托管用户提供的内容或广告的网站。 这些网站可能包含可以利用漏洞的经特殊设计的内容。