Microsoft 安全公告 MS15-106 - 严重
Internet Explorer 累积安全更新 (3096441)
发布日期：2015 年 10 月 13 日 | 更新时间：2015 年 10 月 27 日
版本： 2.0
执行摘要
此安全更新可解决 Internet Explorer 中的漏洞。最严重的漏洞可能在用户使用 Internet Explorer 查看经特殊设计的网页时允许远程执行代码。成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。与拥有管理用户权限的客户相比，帐户被配置为拥有较少系统用户权限的客户受到的影响更小。
对于受影响的 Windows 客户端上的 Internet Explorer 7 (IE 7)、Internet Explorer 8 (IE 8)、Internet Explorer 9 (IE 9)、Internet Explorer 10 (IE 10) 和 Internet Explorer 11 (IE 11)，此安全更新的等级为“严重”；对于受影响的 Windows 服务器上的 Internet Explorer 7 (IE 7)、Internet Explorer 8 (IE 8)、Internet Explorer 9 (IE 9)、Internet Explorer 10 (IE 10) 和 Internet Explorer 11 (IE 11)，此安全更新的等级为“中等”。有关详细信息，请参阅“受影响的软件”部分。
此安全更新修复漏洞的方式如下：
修改内存中 Internet Explorer、JScript、VBScript 和某些函数处理对象的方式
将其他权限验证添加到 Internet Explorer
漏洞信息
多个 Internet Explorer 内存损坏漏洞
当 Internet Explorer 不正确地访问内存中的对象时，存在远程执行代码漏洞。这些漏洞可能以一种攻击者可以在当前用户的上下文中执行任意代码的方式损坏内存。
攻击者可能拥有一个旨在通过 Internet Explorer 利用这些漏洞的经特殊设计的网站，然后诱使用户查看该网站。攻击者还可能利用受到破坏的网站以及接受或宿主用户提供的内容或添加了可利用这些漏洞的经特殊设计的内容的广告的网站。但是在所有情况下，攻击者都无法强制用户查看由攻击者控制的内容。相反，攻击者必须诱使用户采取行动，方法通常是让用户单击 Instant Messenger 或电子邮件中的链接以使用户链接到攻击者的网站，或者让用户打开通过电子邮件发送的附件。
成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，成功利用这些漏洞的攻击者便可控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。频繁使用 Internet Explorer 的系统（如工作站或终端服务器）受这些漏洞的威胁最大。