Microsoft 安全公告 MS15-123 -
重要用于解决信息泄漏的针对 Skype for Business 和 Microsoft Lync 的安全更新 (3105872)
发布日期：2015 年 11 月 10 日
版本： 1.0
执行摘要
此安全更新可解决 Skype for Business 和 Microsoft Lync 中的一个漏洞。如果攻击者邀请目标用户进入即时消息会话，然后向该用户发送包含特制 JavaScript 内容的消息，此漏洞会导致信息泄露。
对于 Skype for Business 2016、Microsoft Lync 2013 和 Microsoft Lync 2010 的所有受支持版本，此安全更新的等级为“重要”；对于某些 Microsoft Lync Room System 组件，此安全更新的等级也是“重要”。有关详细信息，请参阅“受影响的软件”部分。
此安全更新通过更正 Skype for Business 和 Microsoft Lync 客户端清理内容的方式来解决漏洞。有关该漏洞的详细信息，请参阅“漏洞信息”一节。
有关此更新的详细信息，请参阅 Microsoft 知识库文章 3105872。
更新常见问题
为什么此公告中列出的部分更新文件也出现在 11 月的 Microsoft Office 公告 MS15-116 中？ 由于受影响软件中的重叠，此公告 MS15-123 中列出的部分更新文件也出现 MS15-116 中。虽然两个公告解决不同的安全漏洞，但安全更新已进行适当可行的合并。因此，某些相同的更新文件同时出现在这两个公告中。请注意，多个公告附带的相同更新文件无需进行多次安装。
对于 Microsoft Lync 2013 (Skype for Business) 受影响版本，此公告中是否提供了更新的任何先决条件？是。运行 Microsoft Lync 2013 (Skype for Business) 受影响版本的客户必须先安装 2015 年 4 月发布的 Office 2013 的 2965218 更新，然后再安装 2015 年 5 月发布的 3039779 安全更新。有关这两个必备更新的详细信息，请参见：https://support.microsoft.com/zh-cn/kb/2965218知识库文章 3039779
为什么 Lync 2010 Attendee（用户级别安装）更新只能从 Microsoft 下载中心获得？ Microsoft 只将适用于 Lync 2010 Attendee（用户级别安装）的更新发布到 Microsoft 下载中心。由于 Lync 2010 Attendee 的用户级别安装是通过 Lync 会话处理的，因此自动更新等分发方法不适合于这种类型的安装情形。
漏洞信息
服务器输入验证信息泄漏漏洞 - CVE-2015-6061当 Skype for Business 和 Microsoft Lync 客户端未正确清理经特殊设计的内容时，存在信息泄漏漏洞。成功利用该漏洞的攻击者可以在 Skype for Business 或 Lync 上下文中执行 HTML 和 JavaScript 内容。攻击者可以利用此漏洞通过默认浏览器打开网页、与第三方之间打开另一个消息会话，或者可能会触发由客户端系统上的其他应用程序定义的 URI。
为利用该漏洞，攻击者可以邀请目标用户进入即时消息会话，然后向该用户发送包含特制 JavaScript 内容的消息。此更新通过更正 Skype for Business 和 Microsoft Lync 客户端清理内容的方式来解决漏洞。
Microsoft 通过协同的漏洞披露渠道了解到此漏洞的信息。当时此安全公告最初发布，Microsoft 没有收到关于尝试利用此漏洞的任何攻击。