发布日期：2016 年 1 月 12 日
版本： 1.0
执行摘要此安全更新可解决 Microsoft Windows 的 VBScript 脚本引擎中一个漏洞。如果用户访问经特殊设计的网站，此漏洞可能允许远程执行代码。成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，成功利用该漏洞的攻击者便可控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。
对于受支持版本 Windows Vista、Windows Server 2008 和 Windows Server 2008 R2 的服务器核心安装上 VBScript 脚本引擎受影响的版本，此安全更新等级为“严重”。有关详细信息，请参阅“受影响的软件”部分。
更新常见问题 为什么我在此累积安全更新的程序包中同时看到了 JScript.dll 和 VBScript.dll？
此安全更新附带适用于 JScript 和 VBScript 脚本引擎的累积更新。此发布中包含两个引擎，受本公告中所述安全修补程序影响的组件已在上述“受影响的软件”部分列出。
如何确定我的系统上安装了哪个版本的 JScript 和 VBScript 脚本引擎？
JScript 和 VBScript 脚本引擎与 Microsoft Windows 受支持版本一起安装。此外，在系统上安装 Internet Explorer 的较新版本可以更改安装的 JScript 和 VBScript 脚本引擎版本。
若要确定系统上安装的 JScript 或 VBScript 脚本引擎的版本，请执行以下步骤：
打开 Windows Explorer。导航到 %systemroot%/system32 目录。对于 VBScript，右键单击 vbscript.dll，选择“属性”，然后单击“详细信息”选项卡。对于 JScript，右键单击 jscript.dll，选择“属性”，然后单击“详细信息”选项卡。版本号将在“文件版本”字段中列出。如果您的文件版本以 5.8 开头，例如 5.8.7600.16385，则您的系统上安装了 VBScript 5.8。
在我知道了安装在我系统中的 JScript 或 VBScript 脚本引擎版本之后，我去哪里获得更新？
此公告中受影响的软件适用于未安装 Internet Explorer 的系统和已安装 Internet Explorer 7 或更早版本的系统。系统运行 Internet Explorer 8 或更高版本的客户应使用 Internet Explorer 累积更新 (MS16-001)，也可以解决此公告中讨论的漏洞。
当在 Internet Explorer 中处理内存中对象时，VBScript 引擎呈现方式中存在一个远程执行代码漏洞。该漏洞可能以一种攻击者可以在当前用户的上下文中执行任意代码的方式损坏内存。
在基于 Web 的攻击情形中，攻击者可能拥有一个旨在通过 Internet Explorer 利用此漏洞的经特殊设计的网站，然后诱使用户查看该网站。攻击者也可能在托管 IE 呈现引擎的应用程序或 Microsoft Office 文档中嵌入标有“安全初始化”的 ActiveX 控件。攻击者还可能利用受到破坏的网站以及接受或托管用户提供的内容或广告的网站。这些网站可能包含可以利用此漏洞的经特殊设计的内容。
成功利用该漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，成功利用此漏洞的攻击者便可控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。