发布日期：2016 年 1 月 12 日
版本： 1.0
执行摘要此安全更新可修复 Microsoft Office 中的漏洞。最严重的漏洞可能在用户打开特制 Microsoft Office 文件时允许远程执行代码。成功利用这些漏洞的攻击者可以在当前用户的上下文中运行任意代码。与拥有管理用户权限的客户相比，帐户被配置为拥有较少系统用户权限的客户受到的影响更小。
有关详细信息，请参阅受影响的软件和漏洞严重等级部分。
此安全更新修复漏洞的方式如下：
更正 Microsoft Office 处理内存中对象的方式确保 Microsoft SharePoint 正确强制执行 ACP 配置设置帮助确保 Microsoft Office 正确实现 ASLR 安全功能 更新常见问题 我安装了 Microsoft Visual Basic 6.0。我是否需要安装 3096896 更新？
是的，为了免遭漏洞的攻击，您需要安装 3096896 更新。
此更新是否包含其他任何与安全相关的功能更改？
除了为本公告中所述漏洞列出的更改之外，此更新还包括一个深度防御更新，可帮助改进安全相关功能。
我安装了 Microsoft Word 2010。为什么没有向我提供更新 3114554？
更新 3114554 仅适用于运行 Microsoft Office 2010 特定配置的系统。对于某些配置，不会提供此更新。
我使用的是未在“受影响的软件和漏洞严重等级”表中作为受影响的软件特别列出的软件，但却向我提供此更新。为什么要向我提供此更新？
当更新修复在多个 Microsoft Office 产品之间共享或者在相同 Microsoft Office 产品的多个版本之间共享的一个组件中存在的易受攻击的代码时，此更新被视为适用于包含易受攻击的组件的所有受支持产品和版本。
例如，当某更新适用于 Microsoft Office 2007 产品时，“受影响的软件”表中可能只会特别列出 Microsoft Office 2007。不过，此更新可能适用于 Microsoft Word 2007、Microsoft Excel 2007、Microsoft Visio 2007、Microsoft 兼容包、Microsoft Excel Viewer 或其他任何并未在“受影响的软件”表中特别列出的 Microsoft Office 2007 产品。
例如，当某更新适用于 Microsoft Office 2010 产品时，“受影响的软件”表中可能只会特别列出 Microsoft Office 2010。不过，此更新可能适用于 Microsoft Word 2010、Microsoft Excel 2010、Microsoft Visio 2010、Microsoft Visio Viewer 或其他任何并未在“受影响的软件”表中特别列出的 Microsoft Office 2010 产品。
例如，当某更新适用于 Microsoft Office 2013 产品时，“受影响的软件”表中可能只会特别列出 Microsoft Office 2013。不过，此更新可能适用于 Microsoft Word 2013、Microsoft Excel 2013、Microsoft Visio 2013 或其他任何并未在“受影响的软件”表中特别列出的 Microsoft Office 2013 产品。
漏洞信息 多个 Microsoft Office 内存损坏漏洞当 Office 软件不正确处理内存中的对象时，Microsoft Office 软件中存在多个远程执行代码漏洞。成功利用这些漏洞的攻击者可以在当前用户的上下文中运行任意代码。如果当前用户使用管理用户权限登录，那么攻击者便可完全控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。与拥有管理用户权限的用户相比，帐户被配置为拥有较少系统用户权限的用户受到的影响更小。
用户必须使用 Microsoft Office 软件的受影响版本打开经特殊设计的文件，攻击者才能利用这些漏洞。在电子邮件攻击情形中，攻击者可以通过向用户发送经特殊设计的文件并诱使用户打开此文件来利用这些漏洞。在基于 Web 的攻击情形中，攻击者可以托管一个包含经特殊设计的文件（旨在利用这些漏洞）的网站（或者利用接受或托管用户提供的内容的遭到入侵的网站）。攻击者无法强迫用户访问此类网站。相反，攻击者需要诱使用户单击链接，通常是通过电子邮件或 Instant Messenger 消息进行诱骗，然后诱使用户打开经特殊设计的文件。此安全更新通过更正 Office 处理内存中对象的方式来修复这些漏洞。
Microsoft Office ASLR 绕过 – CVE-2016-0012当 Microsoft Office 无法使用地址空间布局随机化 (ASLR) 安全功能时，即存在安全功能绕过漏洞，此漏洞可能允许攻击者更可靠地预测给定调用堆栈中特定指令的内存偏移。成功利用此漏洞的攻击者可能绕过地址空间布局随机化 (ASLR) 安全功能，这一功能有助于保护用户避免许多漏洞的侵害。该安全功能绕过本身不允许执行任意代码。但是，攻击者可以将此 ASLR 绕过漏洞与另一个漏洞（如远程执行代码漏洞）组合使用，在目标系统更可靠地运行任意代码。
在 Web 浏览情况下，要成功利用 ASLR 绕过漏洞，需要用户登录并运行 Microsoft Office 的受影响版本。然后，还需要诱使用户浏览恶意站点。因此，频繁使用 Web 浏览器的系统（如工作站或终端服务器）受 ASLR 绕过漏洞的威胁最大。如果管理员允许用户浏览并读取服务器上的电子邮件，则服务器可能面临更大风险。不过，最佳做法是不要授予这样的权限。此更新通过帮助确保 Microsoft Office 的受影响版本正确实现 ASLR 安全功能来修复 ASLR 绕过漏洞。
Microsoft 通过协同的绕过披露渠道了解到此绕过的信息。在最初发布此安全公告时，Microsoft 没有收到关于尝试利用此绕过漏洞的任何攻击。