发布日期：2016 年 12 月 13 日
版本：1.0
执行摘要
此安全更新程序可修复 Microsoft Edge 中的漏洞。如果用户使用 Microsoft Edge 查看经特殊设计的网页，那么其中最严重的漏洞
可能允许远程执行代码。成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。与拥有管理用户权限的用户相比，帐户
被配置为拥有较少系统用户权限的客户受到的影响更小。
对于 Windows 10 和 Windows Server 2016，此安全更新程序等级为“严重”。有关详细信息，请参阅受影响的软件部分。
此更新修复漏洞的方式如下：
Microsoft 浏览器和受影响组件处理内存中对象的方式
Microsoft 浏览器检查在 Web Workers 中运行脚本的同源策略的方式
脚本引擎处理内存中对象的方式如需了解漏洞的更多信息，请参阅漏洞信息部分。
有关此更新程序的详细信息，请参阅 Microsoft 知识库文章 3204062。
漏洞信息
多个 Microsoft 浏览器内存损坏漏洞
当受影响的 Microsoft 浏览器不正确地访问内存中对象时，存在多个远程执行代码漏洞。这些漏洞可能会损坏内存，具体是通
过攻击者在当前用户环境中执行任意代码。成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户
使用管理用户权限登录，那么攻击者便可控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥
有完全用户权限的新帐户。
多个 Microsoft 浏览器信息泄漏漏洞
在特定条件下，当 Microsoft 浏览器未正确验证内容时，存在信息泄漏漏洞。利用这些漏洞的攻击者可以运行任意代码以导致
信息泄漏。在基于 Web 的攻击情形中，攻击者可能操控网站并试图利用这些漏洞进行攻击。另外，已入侵网站以及接受或托
管用户提供内容的网站可能包含经特殊设计的内容，并利用这些漏洞进行攻击。不过无论何种情况，攻击者都无法强制用户
查看由攻击者控制的内容。相反，攻击者需要诱使用户执行操作。例如，攻击者可以诱骗用户单击链接，转向攻击者的网
站。
多个脚本引擎内存损坏漏洞
在 Microsoft 浏览器中处理内存中对象时，受影响的 Microsoft 脚本引擎呈现方式存在远程执行代码漏洞。这些漏洞可能会损
坏内存，具体是通过攻击者在当前用户环境中执行任意代码。成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权
限。如果当前用户使用管理员权限登录，成功利用此漏洞的攻击者便可控制受影响系统。攻击者可随后安装程序；查看、更
改或删除数据；或者创建拥有完全用户权限的新帐户。