发布日期： 2016 年 4 月 12 日
版本： 1.0
执行摘要此安全更新程序修复了 Microsoft Edge 中的多个漏洞。 如果用户使用 Microsoft Edge 查看经特殊设计的网页，那么其中最严重的漏洞可能允许远程执行代码。 成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。 那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。
对于 Windows 10 上的 Microsoft Edge，此安全更新程序的等级为“严重”。有关详细信息，请参阅受影响的软件部分。
此更新修复漏洞的方式如下：
修改 Microsoft Edge 处理内存对象的方式。确保在 Microsoft Edge 中正确实施跨域策略。 更新程序 FAQ此更新程序是否包含其他任何与安全相关的功能更改？
除了针对本公告中所述漏洞列出的更改之外，此更新程序还包括纵深防御更新程序，可帮助改进与安全相关的功能。
当 Microsoft Edge 不正确地强制实施跨域策略时会存在特权提升漏洞，可能允许攻击者访问某个域中信息并将其插入其他域。 在基于 Web 的攻击情形中，攻击者可能拥有一个网站以试图利用此漏洞。
另外，受到破坏的网站以及接受或托管用户提供的内容的网站可能包含可利用此漏洞的经特殊设计的内容。 不过，在所有情况下，攻击者都无法强制用户查看由攻击者控制的内容。 相反，攻击者需要诱使用户执行操作。 例如，攻击者可能哄骗用户单击指向攻击者网站的链接。 成功利用此漏洞的攻击者可以在受影响的 Microsoft Edge 版本中提升特权。
此漏洞本身不允许运行任意代码。 但是，此漏洞可能与在运行任意代码时攻击者利用提升特权的另一漏洞（例如，远程执行代码漏洞）结合使用。 例如，攻击者可以利用另一个漏洞以通过 Microsoft Edge 运行任意代码，但是由于 Microsoft Edge 启动的进程的上下文，代码可能被限制为在较低的完整性级别（权限非常有限）运行。 但是，攻击者随后可能利用此漏洞导致任意代码在中等完整性级别（当前用户的权限）运行。 此更新通过帮助确保在 Microsoft Edge 中正确实施跨域策略来解决漏洞