发布日期：2016 年 1 月 12 日
执行摘要此安全更新可修复 Microsoft Silverlight 中的漏洞。如果用户访问包含经特殊设计的 Silverlight 应用程序的遭到入侵的网站，则该漏洞可能允许远程执行代码。攻击者无法强迫用户访问遭到入侵的网站。而必须诱使他们进行访问，通常是通过让用户单击电子邮件或即时消息中的链接转到攻击者的网站。
对于安装在 Mac 或所有受支持的 Microsoft Windows 版本上的 Microsoft Silverlight 5 和 Microsoft Silverlight 5 Developer Runtime，此安全更新的等级为“严重”。有关详细信息，请参阅“受影响的软件”部分。
此更新通过更正 Microsoft Silverlight 验证解码器结果的方式修复这些漏洞。有关这些漏洞的详细信息，请参阅“漏洞信息”一节。
有关此更新的详细信息，请参阅 Microsoft 知识库文章 3126036。
更新常见问题哪些 Web 浏览器支持 Microsoft Silverlight 应用程序？
大多数 Web 浏览器（包括 Microsoft Internet Explorer）都需要安装 Microsoft Silverlight 并启用相应的插件，才能运行 Microsoft Silverlight 应用程序。有关 Microsoft Silverlight 的详细信息，请访问 Microsoft Silverlight 官方网站。请参阅浏览器文档，详细了解如何禁用或删除插件。
哪些版本的 Microsoft Silverlight 5 会受到这些漏洞的影响？
Microsoft Silverlight 内部版本 5.1.41212.0（截至此安全公告第一次发布时的最新 Microsoft Silverlight 内部版本）可修复这些漏洞，并且不受影响。5.1.41212.0 之前的 Microsoft Silverlight 内部版本受影响。
我怎样才能知道系统上当前安装了哪个版本和内部版本的 Microsoft Silverlight？
如果您的计算机上已安装 Microsoft Silverlight，您可以访问获取 Microsoft Silverlight 页面，其中指明了您的系统上当前安装的 Microsoft Silverlight 版本和内部版本。您也可以使用当前版本的 Microsoft Internet Explorer 的“管理加载项”功能，确定您的系统上当前安装的版本和内部版本信息。
您还可以手动检查 sllauncher.exe 的版本号，它位于 "%ProgramFiles%/Microsoft Silverlight" 目录中（在 x86 Microsoft Windows 系统上）或位于 "%ProgramFiles(x86)%/Microsoft Silverlight" 目录中（在 x64 Microsoft Windows 系统上）。
此外，在 Microsoft Windows 上，当前安装的 Microsoft Silverlight 版本和内部版本信息可在以下注册表中找到：[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Silverlight]:Version（在 x86 Microsoft Windows 系统上）或 [HKEY_LOCAL_MACHINE/SOFTWARE/Wow6432Node/Microsoft/Silverlight]:Version（在 x64 Microsoft Windows 系统上）。
在 Apple Mac OS 上，当前安装的 Microsoft Silverlight 版本和内部版本信息可通过以下方法找到：
打开“查找工具” 选择系统驱动器，然后转到文件夹“Internet 插件 - 库” 右键单击文件 Silverlight.Plugin（如果您的鼠标只有一个按钮，请在按住 Ctrl 键的同时单击此文件），显示上下文菜单，然后单击“显示程序包内容”。在内容文件夹中，找到文件 info.plist，然后使用编辑器打开它。它包含如下条目，指明了版本号：SilverlightVersion
5.1.41212.0
通过 Microsoft Silverlight 5 安全更新安装的版本为 5.1.41212.0。如果您的 Microsoft Silverlight 5 版本号高于或等于此版本号，则表明您的系统不易受到攻击。
如何升级 Microsoft Silverlight 版本？
Microsoft Silverlight 自动更新功能帮助确保 Microsoft Silverlight 安装随最新版本 Microsoft Silverlight、Microsoft Silverlight 功能和安全功能不断更新。有关 Microsoft Silverlight 自动更新功能的详细信息，请参阅 Microsoft Silverlight Updater。对于禁用了 Microsoft Silverlight 自动更新功能的 Windows 用户，他们可以在Microsoft 更新中注册以获取最新版本的 Microsoft Silverlight，也可以使用之前部分受影响的软件的“受影响的软件”表中列出的下载链接，手动下载最新版本的 Microsoft Silverlight。有关在企业环境中部署 Microsoft Silverlight 的信息，请参阅 Silverlight 企业部署指南。
此更新能否升级我的 Silverlight 版本？
3126036 更新可以将旧版 Silverlight 升级到 Silverlight 版本 5.1.41212.0。Microsoft 建议升级以防受此公告中所述漏洞影响。
在哪里可以找到有关 Silverlight 产品生命周期的其他信息？
有关 Silverlight 生命周期信息，请参阅 Microsoft Silverlight 支持生命周期策略。
当 Microsoft Silverlight 使用恶意解码器（可返回负偏移量从而导致 Silverlight 将不安全的对象标题替换为攻击者提供的内容）解码字符串时，存在远程执行代码漏洞。在 Web 浏览情形中，成功利用此漏洞的攻击者可以获得与当前登录用户相同的权限。如果用户使用管理用户权限登录，那么攻击者便可完全控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。与拥有管理用户权限的用户相比，帐户被配置为拥有较少系统用户权限的用户受到的影响更小。
为了利用此漏洞，攻击者可能会托管一个包含经特殊设计的 Silverlight 应用程序的网站，然后诱使用户访问遭到入侵的网站。攻击者可能还会利用包含经特殊设计的内容的网站，包括接受或托管用户提供的内容或广告的网站。例如，攻击者可能通过使用横幅广告或以其他方式来显示经特殊设计的 Web 内容，以便将 Web 内容投放至受影响的系统。不过，无论如何，攻击者都无法强迫用户访问遭到入侵的网站。相反，攻击者需要诱使用户访问此类网站，通常是通过诱使用户单击电子邮件或即时消息中指向攻击者网站的链接。此更新通过更正 Microsoft Silverlight 验证解码器结果的方式修复这个漏洞。