发布日期：2016 年 1 月 12 日
执行摘要此安全更新可修复 Microsoft Edge 中的漏洞。如果用户使用 Microsoft Edge 查看经特殊设计的网页，则所有漏洞可能允许远程执行代码。成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。与拥有管理用户权限的客户相比，帐户被配置为拥有较少系统用户权限的客户受到的影响更小。
漏洞信息 Microsoft Edge 内存损坏漏洞 - CVE-2016-0003当 Microsoft Edge 不正确地访问内存中的对象时，存在远程执行代码漏洞。该漏洞可能以一种攻击者可以在当前用户的上下文中执行任意代码的方式损坏内存。
攻击者可能拥有一个旨在通过 Microsoft Edge 利用此漏洞的经特殊设计的网站，然后诱使用户查看该网站。攻击者还可能通过添加可利用该漏洞的经特殊设计的内容利用受到破坏的网站以及接受或托管用户提供的内容或广告的网站。但是在所有情况下，攻击者都无法强制用户查看由攻击者控制的内容。相反，攻击者必须诱使用户采取行动，通常方式为通过电子邮件或 Instant Messenger 消息进行诱骗，或者让用户打开通过电子邮件发送的附件。
成功利用该漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，成功利用此漏洞的攻击者便可控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。此更新通过修改 Microsoft Edge 处理内存中对象的方式来修复漏洞。
脚本引擎内存损坏漏洞 - CVE-2016-0024当在 Microsoft Edge 中呈现时，Chakra JavaScript 引擎处理内存中对象的方式中存在远程执行代码漏洞。该漏洞可能以一种攻击者可以在当前用户的上下文中执行任意代码的方式损坏内存。
在基于 Web 的攻击情形中，攻击者可能拥有一个旨在通过 Microsoft Edge 利用此漏洞的经特殊设计的网站，然后诱使用户查看该网站。攻击者也可能在托管 Edge 呈现引擎的应用程序或 Microsoft Office 文档中嵌入标有“安全初始化”的 ActiveX 控件。攻击者还可能利用受到破坏的网站以及接受或宿主用户提供的内容或广告的网站。这些网站可能包含可以利用此漏洞的经特殊设计的内容。
成功利用该漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，成功利用此漏洞的攻击者便可控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。