Microsoft 安全公告 MS15-125 - 严重
Microsoft Edge 的累积安全更新 (3116184)
发布日期： 2015 年 12 月 8 日
版本： 1.0
执行摘要
此安全更新可修复 Microsoft Edge 中的漏洞。 最严重的漏洞可能在用户使用 Microsoft Edge 查看经特殊设计的网页时允许远程执行代码。 成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。 与拥有管理用户权限的客户相比，帐户被配置为拥有较少系统用户权限的客户受到的影响更小。
对于 Windows 10 上的 Microsoft Edge 此安全更新的等级为“严重”。有关详细信息，请参见“受影响的软件”部分。
此更新修复漏洞的方式如下：
修改 Microsoft Edge 处理内存中对象的方式
帮助确保 Microsoft Edge 正确强制实施内容类型
帮助确保 Microsoft Edge 正确实施 ASLR 安全功能。
更正 Microsoft Edge 分析 HTTP 响应的方式
将权限验证添加到 Microsoft Edge
阻止 Microsoft Edge 中的 XSS 筛选器错误地禁用 HTML 属性
漏洞信息
多个 Microsoft Edge 内存损坏漏洞当 Microsoft Edge 不正确地访问内存中的对象时，存在多个远程执行代码漏洞。
这些漏洞可能以一种攻击者可以在当前用户的上下文中执行任意代码的方式损坏内存。
攻击者可能拥有一个旨在通过 Microsoft Edge利用这些漏洞的经特殊设计的网站，然后诱使用户查看该网站。 攻击者还可能利用受到破坏的网站以及接受或宿主用户提供的内容或添加了可利用这些漏洞的经特殊设计的内容的广告的网站。 但是在所有情况下，攻击者都无法强制用户查看由攻击者控制的内容。 相反，攻击者必须诱使用户采取行动，通常方式为通过电子邮件或 Instant Messenger 消息进行诱骗，或者让用户打开通过电子邮件发送的附件。
成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。 如果当前用户使用管理用户权限登录，成功利用漏洞的攻击者便可控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。 此更新通过修改 Microsoft Edge 处理内存中对象的方式来解决漏洞。