Microsoft 安全公告 MS16-109 - 重要 Silverlight 安全更新

版本：1.0

执行摘要

此安全更新可修复 Microsoft Silverlight 中的漏洞。如果用户访问包含经特殊设计的 Silverlight 应用程序的遭到入侵的网站，则该

漏洞可能允许远程执行代码。攻击者无法强迫用户访问遭到入侵的网站。而必须诱使用户进行访问，通常是通过诱使用户单击电子

邮件或即时消息中的链接将用户转到攻击者的网站。

对于安装在 Mac 或所有受支持的 Microsoft Windows 版本上的 Microsoft Silverlight 5 和 Microsoft Silverlight 5 Developer 

Runtime，此安全更新的等级为“重要”。有关详细信息，请参阅受影响的软件部分。

此更新通过更正 Microsoft Silverlight 分配用于在 StringBuilder 中插入和追加字符串的内存的方式来解决此漏洞。

有关这些漏洞的详细信息，请参阅漏洞信息部分。有关此更新的详细信息，请参阅 Microsoft 知识库文章 3182373。

更新程序常见问题解答

哪些 Web 浏览器支持 Microsoft Silverlight 应用程序？ 

大多数 Web 浏览器（包括 Microsoft Internet Explorer）都需要安装 Microsoft Silverlight 并启用相应的插件，才能运行 

Microsoft Silverlight 应用程序。有关 Microsoft Silverlight 的详细信息，请访问 Microsoft Silverlight 官方网站。请参阅浏览器

文档，详细了解如何禁用或删除插件。

哪些版本的 Microsoft Silverlight 5 会受到这些漏洞的影响？ 

Microsoft Silverlight 内部版本 5.1.50709.0（截至此安全公告第一次发布时的最新 Microsoft Silverlight 内部版本）可修复这

些漏洞，并且不受影响。5.1.50709.0 之前的 Microsoft Silverlight 内部版本受影响。

如何知道我的系统上当前安装了哪个 Microsoft Silverlight 版本和内部版本？ 

如果你的计算机上已安装 Microsoft Silverlight，则可以访问获取 Microsoft Silverlight 页面，它将指明你的系统上当前安装的 

Microsoft Silverlight 版本和内部版本。您也可以使用当前版本的 Microsoft Internet Explorer 的“管理加载项”功能，确定您的

系统上当前安装的版本和内部版本信息。

Microsoft Silverlight 内存损坏漏洞 - CVE-2016-3367

当 Microsoft Silverlight 不正确地允许应用程序访问内存中的对象时，存在远程执行代码漏洞。该漏洞可能损坏系统内存，这

可能会允许攻击者执行任意代码。在 Web 浏览情形中，成功利用此漏洞的攻击者可以获得与当前登录用户相同的权限。如果用户

使用管理用户权限登录，那么攻击者便可完全控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有

完全用户权限的新帐户。与拥有管理用户权限的用户相比，帐户被配置为拥有较少系统用户权限的用户受到的影响更小。