发布时间：2015 年 12 月 8 日 | 更新时间：2016 年 2 月 9 日
版本： 1.1
执行摘要此安全更新程序修复了 Microsoft Windows、.NET Framework、Microsoft Office、Skype for Business、Microsoft Lync 和 Silverlight 中的多个漏洞。如果用户打开经特殊设计的文档或访问包含经特殊设计的嵌入字体的网页，那么这些漏洞可能允许远程执行代码。
对于以下版本，此安全更新程序的等级为“严重”：
所有受支持的 Microsoft Windows 版本所有受支持的 Microsoft Windows 版本上受影响的 Microsoft .NET Framework 版本受影响的 Skype for Business 2016、Microsoft Lync 2013 和 Microsoft Lync 2010 版本受影响的 Microsoft Office 2007 和 Microsoft Office 2010 版本有关详细信息，请参阅受影响的软件部分。
此安全更新程序通过更正 Windows 字体库处理嵌入字体的方式来修复这些漏洞。有关这些漏洞的详细信息，请参阅漏洞信息部分。
有关此更新的详细信息，请参阅 Microsoft 知识库文章 3104503。
更新程序 FAQ为什么此公告中列出的部分更新程序也出现在本月发布的其他公告中？
由于公告是按其修复的安全漏洞（而不是发布的更新程序包）进行划分，因此，如果相关漏洞的修复程序已合并成一个更新程序包，那么各个公告就可能引用相同的更新程序。在这种情况下，一个公告中描述的漏洞的严重等级和影响等级也有可能与另一公告中描述的漏洞完全不同。这种情况在 Internet Explorer 或 Silverlight 等产品的累积更新中很常见，即单独的更新程序中包含的修复程序用于修复在各个公告中讨论的大相径庭的安全漏洞。
请注意，无需多次安装多个公告附带的完全相同的更新程序文件。
部分受影响软件有多个更新包可用。是否需要为该软件安装“受影响软件”表中列出的所有更新？
是。客户应安装为系统上所安装软件提供的所有更新。如果有多个更新程序适用，则可以按任意顺序进行安装。
我需要按特定顺序安装这些安全更新程序吗？
不需要。适用于特定系统的多个更新程序可以按任意顺序进行应用。
我运行的是 Office 2010。此软件被列为受影响的软件。为什么没有向我提供此更新程序？
此更新程序不适用于 Windows Vista 和 Windows 更高版本上的 Office 2010，因为不存在易受攻击的代码。
我使用的是未在“受影响的软件和漏洞严重等级”表中作为受影响的软件特别列出的软件，但却向我提供此更新程序。为什么要向我提供此更新程序？
当更新程序修复在多个 Microsoft Office 产品之间共享或者在相同 Microsoft Office 产品的多个版本之间共享的一个组件中存在的易受攻击的代码时，此更新程序被视为适用于包含易受攻击的组件的所有受支持产品和版本。
例如，当某更新程序适用于 Microsoft Office 2007 产品时，“受影响的软件”表中可能只会特别列出 Microsoft Office 2007。不过，此更新程序可能适用于 Microsoft Word 2007、Microsoft Excel 2007、Microsoft Visio 2007、Microsoft 兼容包、Microsoft Excel Viewer 或其他任何并未在“受影响的软件”表中特别列出的 Microsoft Office 2007 产品。此外，当某更新程序适用于 Microsoft Office 2010 产品时，“受影响的软件”表中可能只会特别列出 Microsoft Office 2010。不过，此更新程序可能适用于 Microsoft Word 2010、Microsoft Excel 2010、Microsoft Visio 2010、Microsoft Visio Viewer 或其他任何并未在“受影响的软件”表中特别列出的 Microsoft Office 2010 产品。
有关此行为和建议操作的详细信息，请参阅 Microsoft 知识库文章 830335。有关更新程序可能适用的 Microsoft Office 产品列表，请参阅与特定更新程序相关的 Microsoft 知识库文章。
此公告提供了受影响的 Microsoft Lync 2013 (Skype for Business) 版本的更新程序。是否存在任何先决条件？
是。运行受影响的 Microsoft Lync 2013 (Skype for Business) 版本的客户必须先安装 2015 年 4 月发布的 Office 2013 更新程序 2965218，以及 2015 年 5 月发布的安全更新程序 3039779。有关这两个先决条件更新程序的详细信息，请参阅：
是否有客户应连同 Microsoft Live Meeting Console 安全更新程序一起安装的其他任何与安全无关的更新程序？
是。除了发布适用于 Microsoft Live Meeting Console 的安全更新程序之外，Microsoft 还发布了以下与安全无关的更新程序，适用于 Outlook 的 OCS 会议外接程序。在适用的情况下，Microsoft 建议客户安装这些更新程序，以便不断更新系统：
有关详细信息，请参阅 Microsoft 知识库文章 3115870。
为什么只能从 Microsoft 下载中心获取 Lync 2010 Attendee（用户级安装）更新程序？
Microsoft 只在 Microsoft 下载中心内发布 Lync 2010 Attendee（用户级安装）更新程序。由于 Lync 2010 Attendee 的用户级安装是通过 Lync 会话处理，因此自动更新等分发方法不适合于这种类型的安装情形。
当 Windows 字体库不正确地处理经特殊设计的嵌入字体时，存在多个远程执行代码漏洞。成功利用这些漏洞的攻击者可以安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。
攻击者可能通过多种方式利用这些漏洞，包括诱使用户打开经特殊设计的文档或访问包含嵌入字体的不受信任的网页。此安全更新程序通过更正 Windows 字体库处理嵌入字体的方式来修复这些漏洞。
缓解因素Microsoft 并未发现这些漏洞的任何缓解因素。
变通办法Microsoft 并未发现这些漏洞的任何变通办法。
安全更新程序部署有关安全更新程序部署信息，请参阅此处引用的 Microsoft 知识库文章（在“执行摘要”中）。
鸣谢Microsoft 通过协调漏洞披露渠道认可在安全社区中帮助我们对客户进行保护的人们所做出的努力。有关详细信息，请参阅鸣谢部分。
免责声明Microsoft 知识库中的信息“按原样”提供，没有任何形式的担保。Microsoft 不作任何明示或暗示保证，包括对适销性和针对特定用途的适用性的保证。Microsoft Corporation 或其供应商不对任何损害（包括直接的、间接的、偶然的、必然的损害、商业利润损失或特殊损害）承担任何责任，即使 Microsoft Corporation 或其供应商事先已被告知有可能发生此类损害。有些州不允许排除或限制必然或偶然损害的赔偿责任，因此上述限制可能不适用。