发布日期：2015 年 10 月 13 日 | 更新日期：2015 年 10 月 16 日
版本： 1.1
执行摘要此安全更新可修复 Microsoft Windows 中的漏洞。如果攻击者登录受影响的系统并运行经特殊设计的应用程序，最严重的漏洞可能允许特权提升。
注意 使用本地和远程报告证明解决方案的客户应查看本公告讨论的 CVE-2015-2552 详细信息。
对于 Microsoft Windows 的所有受支持版本，此安全更新的等级为“重要”。有关详细信息，请参阅“受影响的软件”部分。
该更新通过更正 Windows 内核处理内存中对象的方式、Windows 处理某些涉及联接和装入点创建的情形的方式，以及通过改进 Windows 分析启动配置数据 (BCD) 的方式来解决漏洞。有关这些漏洞的详细信息，请参阅“漏洞信息”一节。
有关此更新的详细信息，请参阅 Microsoft 知识库文章 3096447。
更新常见问题 我运行的是 Windows 8.1、Windows Server 2012 R2 或 Windows RT 8.1。为什么没有向我提供 3088195 更新？
要获得 Windows RT 8.1、Windows 8.1 和 Windows Server 2012 R2 的 3088195 安全更新，必须在系统上安装 2919355 更新。有关详细信息，请参阅 Microsoft 知识库文章 2919355。
在 Windows 内核处理内存对象的方式中存在多个特权提升漏洞。成功利用这些漏洞的攻击者可以在内核模式下运行任意代码。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。
攻击者必须先登录系统，然后才能利用这些漏洞。然后，攻击者可以运行一个为利用这些漏洞而经特殊设计的应用程序，从而控制受影响的系统。此更新程序通过更正 Windows 内核处理内存中对象的方式来修复这些漏洞。
缓解因素以下缓解因素在您遇到的情形中可能会有所帮助：
攻击者必须拥有有效的登录凭据并能本地登录才能利用 CVE-2015-2554。变通办法Microsoft 并未发现此漏洞的任何变通办法。
可信启动安全功能绕过漏洞 – CVE-2015-2552当 Windows 无法正确强制 Windows 可信启动策略时存在安全功能绕过漏洞。成功利用此漏洞的攻击者可以禁用代码完整性检查，从而允许将签名的测试可执行文件和驱动程序加载到目标设备。此外，攻击者可以绕过 BitLocker 和设备加密安全功能的可信启动完整性验证。
通过应用恶意制作的启动配置数据 (BCD) 设置，已获取管理权限或具有目标设备物理访问权限的攻击者可以利用此漏洞。此安全更新通过改进 Windows 分析 BCD 的方式来解决此漏洞。
此漏洞已公开披露。并分配有常见漏洞和披露号码 CVE-2015-2552。当时此安全公告最初发布，Microsoft 没有收到关于尝试利用此漏洞的任何攻击。
缓解因素以下缓解因素在您遇到的情形中可能会有所帮助：
要利用此漏洞，攻击者必须具有管理权限或目标设备的物理访问权限。变通办法以下变通办法在您遇到的情形中可能会有所帮助：
配置 BitLocker 以使用可信平台模块 (TPM)+PIN 保护要启用 TPM 和 PIN 保护器，则启用加强的保护组策略，如下所示：
单击开始，单击运行，键入 gpedit.msc，然后单击确定以打开组策略编辑器。在本地计算机策略下，导航到管理模板 > Windows 组件 > BitLocker 驱动器加密 > 操作系统驱动器。在右窗格中，双击“启动时需要其他身份验证”。在出现的对话框中，单击已启用。在选项下，选择“需要 TPM”和“需要启动 PIN 和 TPM”。单击“应用”并关闭本地组策略编辑器。变通办法的影响。每次重启计算机时用户将需要输入 PIN。
如何撤消变通办法：
单击开始，单击运行，键入 gpedit.msc，然后单击确定以打开组策略编辑器。在本地计算机策略下，导航到管理模板 > Windows 组件 > BitLocker 驱动器加密 > 操作系统驱动器。在右窗格中，双击“启动时需要其他身份验证”。在出现的对话框中，单击已启用。在选项下，取消选择“允许 TPM”和“允许启动 PIN 和 TPM”。单击“应用”并关闭本地组策略编辑器。 禁用 BitLocker 的安全启动完整性验证要禁用安全启动完整性验证，必须先暂时停用 BitLocker 保护。按照以下步骤操作：
停用 BitLocker 保护 打开“控制面板”，依次单击“系统和安全”和“BitLocker 驱动器加密”。当要求确认时，依次单击“停用保护”和“是”。关闭“控制面板”。禁用安全启动 单击开始，单击运行，键入 gpedit.msc，然后单击确定以打开组策略编辑器。在本地计算机策略下，导航到管理模板 > Windows 组件 > BitLocker 驱动器加密 > 操作系统驱动器。双击“允许安全启动完整性验证”。在出现的对话框中，单击已禁用。单击“应用”并关闭本地组策略编辑器。继续 BitLocker 保护 打开“控制面板”，依次单击“系统和安全”和“BitLocker 驱动器加密”。单击“继续保护”。关闭“控制面板”。
变通办法的影响。禁用安全启动完整性验证可以导致在更新硬件版本或 BCD 设置时系统更频繁地输入 BitLocker 恢复。
如何撤消变通方法：
要启用安全启动完整性验证，必须先暂时停用 BitLocker 保护。按照以下步骤操作：
停用 BitLocker 保护 打开“控制面板”，依次单击“系统和安全”和“BitLocker 驱动器加密”。当要求确认时，依次单击“停用保护”和“是”。关闭“控制面板”。启用安全启动 单击开始，单击运行，键入 gpedit.msc，然后单击确定以打开组策略编辑器。在本地计算机策略下，导航到管理模板 > Windows 组件 > BitLocker 驱动器加密 > 操作系统驱动器。双击“允许安全启动完整性验证”。在出现的对话框中，单击已启用。单击“应用”并关闭本地组策略编辑器。继续 BitLocker 保护 打开“控制面板”，依次单击“系统和安全”和“BitLocker 驱动器加密”。单击“继续保护”。关闭“控制面板”。漏洞常见问题解答由 Microsoft Windows 10 设备健全证明服务（或处理 TCG 日志的其他本地或远程证明解决方案，如 TCG）生成的设备健全证明（DHA 报告）是否受此漏洞影响？
是。TPM TCG 日志捕获/记录的处理指标的本地和远程报告证明解决方案会受此漏洞影响。在将来版本中，Microsoft 将使 IT 经理可以使用 Microsoft 设备健全证明 - 云服务来远程删除此漏洞。
当在正在创建装入点的某些情况中 Windows 错误验证联接时，存在特权提升漏洞。成功利用此漏洞的攻击者可能会在运行受到破坏的应用程序的用户的安全上下文中运行任意代码。
要利用此漏洞，攻击者很可能会利用其他漏洞来允许其在沙盒应用程序中运行任意代码。此更新通过 Windows 处理某些涉及联接和装入点创建的情形的方式来解决此漏洞。
此漏洞已公开披露。并分配有常见漏洞和披露号码 CVE-2015-2553。当时此安全公告最初发布，Microsoft 没有收到关于尝试利用此漏洞的任何攻击。
缓解因素Microsoft 并未发现此漏洞的任何缓解因素。
变通办法Microsoft 并未发现此漏洞的任何变通办法。
安全更新程序部署有关安全更新部署信息，请参阅执行摘要中此处引用的 Microsoft 知识库文章。
鸣谢Microsoft 通过协调漏洞披露渠道认可在安全社区中帮助我们对客户进行保护的人们所做出的努力。有关详细信息，请参阅鸣谢部分。
免责声明Microsoft 知识库中的信息“按原样”提供，没有任何形式的担保。Microsoft 不作任何明示或暗示保证，包括对适销性和针对特定目的的适用性的保证。Microsoft Corporation 或其供应商不对任何损害（包括直接的、间接的、偶然的、必然的损害，商业利润损失，或特殊损害）承担任何责任，即使 Microsoft Corporation 或其供应商事先已被告知有可能发生此类损害。有些州不允许排除或限制必然或偶然损害的赔偿责任，因此上述限制可能不适用。