用于解决远程执行代码漏洞的 JScript 和 VBScript 累积安全更新 (3116178)
发布日期：2015 年 12 月 8 日
更新时间：2016 年 5 月 25 日
版本： 1.1
执行摘要
此安全更新可解决 Microsoft Windows 的 VBScript 脚本引擎中的漏洞。如果攻击者拥有一个旨在通过 Internet Explorer 利用这些
漏洞的经特殊设计的网站（利用已入侵的网站或接受或托管用户提供的内容或广告的网站），然后诱使用户查看该网站，其中较为
严重的漏洞可能允许远程执行代码。
攻击者也可能在使用 Internet Explorer 呈现引擎将用户定向到经特殊设计的网站的应用程序或 Microsoft Office 文档中嵌入标有“安
全初始化”的 ActiveX 控件。
此更新通过修改 VBScript 脚本引擎处理内存中对象的方式来解决漏洞。有关漏洞的详细信息，请参阅“漏洞信息”部分。有关此更
新程序的详细信息，请参阅 Microsoft 知识库文章 3116178。
更新程序 FAQ
为什么我在此累积安全更新的程序包中看到了 JScript.dll 和 VBScript.dll？
此安全更新附带适用于 JScript 和 VBScript 脚本引擎的累积更新。此发布中包含两个引擎，受本公告中所述安全修补程序影响的组
件已在上述“受影响的软件”部分列出。
如何确定我的系统上安装了哪个版本的 JScript 和 VBScript 脚本引擎？
JScript 和 VBScript 脚本引擎与 Microsoft Windows 受支持版本一起安装。此外，在系统上安装 Internet Explorer 的较新版本可以
更改安装的 JScript 和 VBScript 脚本引擎版本。
漏洞信息
脚本引擎信息泄漏漏洞 - CVE-2015-6135
当 VBScript 不正确地披露内存内容时会存在一个信息泄漏漏洞，此漏洞为攻击者提供相关信息以进一步破坏用户的计算机或数
据。
要利用此漏洞，攻击者必须知晓所创建对象的内存地址。此更新通过更改在内存中某些函数处理对象的方式来修复这个漏洞。
Microsoft 通过协同的漏洞披露渠道了解到此漏洞的信息。在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开用于
攻击用户的信息。