发布时间：2016 年 10 月 11 日
更新日期：2016年11月8日
执行摘要
此安全更新程序修复了 Microsoft Windows、Microsoft Office、Skype for Business、Silverlight 和 Microsoft Lync 中的多个漏洞。
如果用户访问经特殊设计的网站或打开经特殊设计的文档，则其中最严重的漏洞可能允许远程执行代码。与拥有管理用户权限的用
户相比，帐户被配置为拥有较少系统用户权限的用户受到的影响更小。
对于以下版本，此安全更新程序的等级为“严重”：
所有受支持的 Microsoft Windows 版本
对于以下版本，此安全更新程序的等级为“重要”：
受影响的 Microsoft Office 2007 和 Microsoft Office 2010 版本
受影响的 Skype for Business 2016、Microsoft Lync 2013 和 Microsoft Lync 2010 版本
受影响的 Microsoft .NET Framework 版本
受影响的 Silverlight
版本此安全更新程序通过更正 Windows 字体库处理嵌入字体的方式来修复这些漏洞。
有关详细信息，请参阅受影响的软件和漏洞严重等级部分。
有关此更新程序的详细信息，请参阅 Microsoft 知识库文章 3192884。
更新程序常见问题解答
有多个更新程序包适用于一些受影响的软件。是否需要为该软件安装“受影响软件”表中列出的所有更新程序？
是。客户应安装为系统上所安装软件提供的所有更新程序。如果有多个更新程序适用，则可以按任意顺序进行安装。
我需要按特定顺序安装这些安全更新吗？
不需要。给定系统的多个更新可以按任意顺序应用。
我正在运行 Office 2010，该软件被列为受影响的软件。为什么没有向我提供此更新程序？
此更新不适用于 Windows Vista 和 Windows 更高版本上的 Office 2010，因为不存在易受攻击的代码。
针对未在“受影响的软件和漏洞严重等级”表中作为受影响方特别列出的软件向我提供此更新。为什么要向我提供此更新？
当更新程序修复在多个 Microsoft Office 产品之间共享或者在相同 Microsoft Office 产品的多个版本之间共享的一个组件中存
在的易受攻击的代码时，此更新程序被视为适用于包含易受攻击的组件的所有受支持产品和版本。
此公告提供了受影响的 Microsoft Lync 2013 (Skype for Business) 版本的更新程序。是否存在任何先决条件？
有。运行受影响的 Microsoft Lync 2013 (Skype for Business) 版本的客户必须先安装 2015 年 4 月发布的 Office 2013 更新
程序 2965218，然后安装 2015 年 5 月发布的安全更新程序 3039779
Windows 图形组件 RCE 漏洞 – CVE-2016-3393
由于 Windows GDI 组件处理内存中对象的方式导致存在远程执行代码漏洞。成功利用此漏洞的攻击者可以控制受影响的系
统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。与拥有管理用户权限的用户相
比，帐户被配置为拥有较少系统用户权限的用户受到的影响更小。
攻击者可以通过多种方式利用此漏洞：
在基于 Web 的攻击情形中，攻击者可能拥有一个旨在利用此漏洞的经特殊设计的网站，然后诱使用户查看该网站。攻
击者无法强制用户查看由攻击者控制的内容。相反，攻击者必须诱使用户采取行动，方法通常是让用户单击电子邮件或
Instant Messenger 消息中的链接以使用户链接到攻击者的网站，或者让用户打开通过电子邮件发送的附件。
在文件共享攻击情形中，攻击者可能会提供一个旨在利用此漏洞的经特殊设计的文档，然后诱使用户打开该文档文件。