发布日期：2016年11月8日
版本：1.0
执行摘要此安全更新可修复 Microsoft Office 中的多个漏洞。最严重的漏洞可能在用户打开经特殊设计的 Microsoft Office 文件时允许远程执行代码。成功利用这些漏洞的攻击者可以在当前用户的上下文中运行任意代码。与拥有管理用户权限的客户相比，帐户被配置为拥有较少系统用户权限的客户受到的影响较小。
有关详细信息，请参阅受影响的软件和漏洞严重等级部分。
此安全更新通过更正以下行为修复这些漏洞：
Microsoft Office 初始化变量的方式。受影响版本的 Office 和 Office 组件处理内存中对象的方式。有关这些漏洞的详细信息，请参阅漏洞信息部分。
有关此更新程序的详细信息，请参阅 Microsoft 知识库文章 3199168。
更新程序常见问题解答我安装了 Microsoft Word 2010。为什么没有向我提供更新程序 3127951？
更新程序 3127951 只适用于运行 Microsoft Office 2010 特定配置的系统。某些配置不会收到此更新。
针对未在“受影响的软件和漏洞严重等级”表中列出的受影响软件向我提供此更新。为什么要向我提供此更新？
当更新程序修复在多个 Microsoft Office 产品之间共享或者在相同 Microsoft Office 产品的多个版本之间共享的一个组件中存在的易受攻击的代码时，此更新程序被视为适用于包含易受攻击的组件的所有受支持产品和版本。
例如，当某更新程序适用于 Microsoft Office 2007 产品时，“受影响的软件”表中可能只会特别列出 Microsoft Office 2007。不过，此更新程序可能适用于 Microsoft Word 2007、Microsoft Excel 2007、Microsoft Visio 2007、Microsoft 兼容包、Microsoft Excel Viewer 或其他任何并未在“受影响的软件”表中特别列出的 Microsoft Office 2007 产品。此外，当某更新程序适用于 Microsoft Office 2010 产品时，“受影响的软件”表中可能只会特别列出 Microsoft Office 2010。不过，此更新程序可能适用于 Microsoft Word 2010、Microsoft Excel 2010、Microsoft Visio 2010、Microsoft Visio Viewer 或其他任何并未在“受影响的软件”表中特别列出的 Microsoft Office 2010 产品。
有关此行为和建议操作的详细信息，请参阅 Microsoft 知识库文章 830335。有关更新程序可能适用的 Microsoft Office 产品列表，请参阅与特定更新程序相关的 Microsoft 知识库文章。
漏洞信息 Microsoft Office 信息泄漏漏洞 – CVE-2016-7233由于未初始化变量导致 Office 或 Word 读取内存越界，进而泄露内存内容时，就会存在信息泄露漏洞。成功利用该漏洞的攻击者可以查看内存越界部分。
漏洞攻击要求用户使用受影响的 Microsoft Office 软件版本打开经特殊设计的文件。
此安全更新程序通过正确初始化变量来修复漏洞。
缓解因素Microsoft 并未发现此漏洞的任何缓解因素。
变通办法Microsoft 并未发现此漏洞的任何变通办法。
多个 Microsoft Office 内存损坏漏洞
当 Office 软件不正确地处理内存中的对象时，Microsoft Office 软件中会存在多个远程执行代码漏洞。成功利用这些漏洞的攻击者可以在当前用户的上下文中运行任意代码。如果当前用户使用管理用户权限登录，那么攻击者便可完全控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。与拥有管理用户权限的用户相比，帐户被配置为拥有较少系统用户权限的用户受到的影响更小。
漏洞攻击要求用户使用受影响的 Microsoft Office 软件版本打开一个经特殊设计的文件。在电子邮件攻击场景中，攻击者可能通过向用户发送特别生成的文件并诱导用户打开该文件以攻击漏洞。在基于 Web 的攻击场景中，攻击者可能托管网站（或利用一个接受或托管用户所提供内容的受影响网站），其中包含特定生成的文件以攻击漏洞。攻击者无法强迫用户访问此网站。相反，攻击者必须诱导用户点击链接，通常是在电子邮件或即时消息中放置诱导信息，让用户打开特别生成的文件。
请注意，预览窗格并不是这些漏洞的攻击平台。此安全更新程序通过更正 Office 处理内存中对象的方式来修复漏洞。
Microsoft Office 拒绝服务漏洞 – CVE-2016-7244在 Microsoft Office 中打开经特殊设计的文件时，存在拒绝服务漏洞。成功利用此漏洞的攻击者可能导致 Office 停止响应。请注意，拒绝服务不允许攻击者执行代码或提升其用户权限。
为了成功地执行攻击，此漏洞要求用户使用受影响的 Microsoft Office 版本打开经特殊设计的文件。在电子邮件攻击情形中，攻击者可以通过向用户发送特制的文件并诱使用户打开该文件来利用此漏洞。
该安全更新程序通过更正 Microsoft Office 处理内存中对象的方式来修复漏洞。
缓解因素Microsoft 并未发现此漏洞的任何缓解因素。
变通办法Microsoft 并未发现此漏洞的任何变通办法。
安全更新程序部署有关安全更新程序部署信息，请参阅执行摘要中此处引用的 Microsoft 知识库文章。
鸣谢Microsoft 通过协调漏洞披露渠道认可在安全社区中帮助我们对客户进行保护的人们所做出的努力。有关详细信息，请参阅鸣谢。
免责声明Microsoft 知识库中的信息“按原样”提供，没有任何形式的担保。Microsoft 不作任何明示或暗示保证，包括对适销性和针对特定用途的适用性的保证。Microsoft Corporation 或其供应商不对任何损害（包括直接的、间接的、偶然的、必然的损害、商业利润损失或特殊损害）承担任何责任，即使 Microsoft Corporation 或其供应商事先已被告知有可能发生此类损害。有些州不允许排除或限制必然或偶然损害的赔偿责任，因此上述限制可能不适用。