发布日期：2016 年 12 月 13 日
版本：1.0
执行摘要此安全更新可修复 Microsoft Office 中的多个漏洞。最严重的漏洞可能在用户打开经特殊设计的 Microsoft Office 文件时允许远程执行代码。成功利用这些漏洞的攻击者可以在当前用户的上下文中运行任意代码。与拥有管理用户权限的客户相比，帐户被配置为拥有较少系统用户权限的客户受到的影响较小。
有关详细信息，请参阅受影响的软件和漏洞严重等级部分。
此安全更新通过更正以下行为修复这些漏洞：
Microsoft Office 初始化变量的方式。 Microsoft Office 验证输入的方式。 Microsoft Office 重新检查注册表数值的方式。 Microsoft Office 分析文件格式的方式。受影响版本的 Office 和 Office 组件处理内存中对象的方式。 Microsoft Office for Mac Autoupdate 验证程序包的方式。如需了解漏洞的更多信息，请参阅漏洞信息部分。
有关此更新程序的详细信息，请参阅 Microsoft 知识库文章 3204068。
更新程序常见问题解答我安装了 Microsoft Word 2010。为什么没有向我提供更新程序 3128032？
更新程序 3128032 只适用于运行 Microsoft Office 2010 特定配置的系统。某些配置不会收到此更新。
针对未在“受影响的软件和漏洞严重等级”表中列出的受影响软件向我提供此更新。为什么要向我提供此更新？
当更新程序修复在多个 Microsoft Office 产品之间共享或者在相同 Microsoft Office 产品的多个版本之间共享的一个组件中存在的易受攻击的代码时，此更新程序被视为适用于包含易受攻击的组件的所有受支持产品和版本。
例如，当某更新程序适用于 Microsoft Office 2007 产品时，“受影响的软件”表中可能只会特别列出 Microsoft Office 2007。不过，此更新程序可能适用于 Microsoft Word 2007、Microsoft Excel 2007、Microsoft Visio 2007、Microsoft 兼容包、Microsoft Excel Viewer 或其他任何并未在“受影响的软件”表中特别列出的 Microsoft Office 2007 产品。此外，当某更新程序适用于 Microsoft Office 2010 产品时，“受影响的软件”表中可能只会特别列出 Microsoft Office 2010。不过，此更新程序可能适用于 Microsoft Word 2010、Microsoft Excel 2010、Microsoft Visio 2010、Microsoft Visio Viewer 或其他任何并未在“受影响的软件”表中特别列出的 Microsoft Office 2010 产品。
有关此行为和建议操作的详细信息，请参阅 Microsoft 知识库文章 830335。有关更新程序可能适用的 Microsoft Office 产品列表，请参阅与特定更新程序相关的 Microsoft 知识库文章。
漏洞信息 多个 Microsoft Office 内存损坏漏洞当 Office 软件不正确地处理内存中的对象时，Microsoft Office 软件中会存在多个远程执行代码漏洞。成功利用这些漏洞的攻击者可以在当前用户的上下文中运行任意代码。如果当前用户使用管理用户权限登录，那么攻击者便可完全控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。与拥有管理用户权限的用户相比，帐户被配置为拥有较少系统用户权限的用户受到的影响更小。
漏洞攻击要求用户使用受影响的 Microsoft Office 软件版本打开一个经特殊设计的文件。在电子邮件攻击场景中，攻击者可能通过向用户发送特别生成的文件并诱导用户打开该文件以攻击漏洞。在基于 Web 的攻击场景中，攻击者可能托管网站（或利用一个接受或托管用户所提供内容的受影响网站），其中包含特定生成的文件以攻击漏洞。攻击者无法强迫用户访问此网站。相反，攻击者必须诱导用户点击链接，通常是在电子邮件或即时消息中放置诱导信息，让用户打开特别生成的文件。
请注意，如果在“受影响软件和漏洞严重性评级”表中将严重性标记为“严重”，则“预览窗格”是针对 CVE-2016-7298 的攻击途径。
此安全更新通过更正 Office 处理内存中对象的方式来修复漏洞。
缓解因素Microsoft 并未发现这些漏洞的任何缓解因素。
变通办法Microsoft 并未发现这些漏洞的任何变通办法。
Microsoft Office OLE DLL 端加载漏洞 – CVE-2016-7275
当 Microsoft Office 在加载库之前不正确地验证输入时，存在远程代码执行漏洞。成功利用该漏洞的攻击者可以控制受影响系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。与拥有管理用户权限的用户相比，帐户被配置为拥有较少系统用户权限的用户受到的影响更小。
为了利用该漏洞，攻击者需要访问本地系统，还需要能够在系统上执行特别设计的应用程序。
此安全更新通过更正 Microsoft Office 在加载库前验证输入的方式来修复漏洞。
缓解因素Microsoft 并未发现此漏洞的任何缓解因素。
变通办法Microsoft 并未发现此漏洞的任何变通办法。
Microsoft Office 安全功能绕过漏洞 – CVE-2016-7267当 Office 软件不正确地处理文件格式分析时，Microsoft Office 软件中存在安全功能绕过漏洞。该安全功能绕过本身不允许执行任意代码。但是，为了成功利用此漏洞，攻击者必须结合其他漏洞（例如远程执行代码漏洞），以利用安全功能绕过漏洞并运行任意代码。
漏洞攻击会要求攻击者诱骗用户使用受影响的 Microsoft Office 软件版本打开经特殊设计的文件。
此安全更新通过更正 Office 软件处理文件格式分析的方式来修复漏洞。
缓解因素Microsoft 并未发现此漏洞的任何缓解因素。
变通办法Microsoft 并未发现此漏洞的任何变通办法。
Microsoft Office 安全功能绕过漏洞 – CVE-2016-7262当 Microsoft Office 不正确地处理输入时，存在安全功能绕过漏洞。成功利用此漏洞的攻击者可以执行任意命令。
在文件共享攻击情形中，攻击者可能会提供旨在利用此漏洞的经特殊设计的文档文件，然后诱使用户打开该文档文件并通过单击特定单元格与文档交互。
此更新通过更正 Microsoft Office 处理输入的方式来修复漏洞。
缓解因素Microsoft 并未发现此漏洞的任何缓解因素。
变通办法Microsoft 并未发现此漏洞的任何变通办法。
Microsoft Office 安全功能绕过漏洞 – CVE-2016-7266当 Microsoft Office 不正确地检查注册表设置的同时尝试运行嵌入内容时，存在安全功能绕过漏洞。成功利用此漏洞的攻击者可以执行任意命令。在文件共享攻击情形中，攻击者可能会提供旨在利用此漏洞的经特殊设计的文档文件，然后诱使用户多次尝试打开该文档。
此更新通过更正用户尝试打开或执行嵌入内容时 Microsoft Office 检查注册表设置的方式来解决漏洞。
缓解因素Microsoft 并未发现此漏洞的任何缓解因素。
变通办法Microsoft 并未发现此漏洞的任何变通办法。
GDI 信息泄漏漏洞 - CVE-2016-7257当 Microsoft Office 无法正确处理内存中对象时，存在信息泄漏漏洞，此漏洞可能允许攻击者检索可能会导致地址空间布局随机化 (ASLR) 绕过的信息。成功利用此漏洞的攻击者可能会引起信息泄漏，从而导致绕过保护用户使其免受大量漏洞影响的 ASLR 安全功能。
该安全功能绕过本身不允许执行任意代码。但是，攻击者可以将 ASLR 规避漏洞与另一个漏洞（如远程执行代码漏洞）组合使用，从而利用 ASLR 规避来运行任意代码。
若要利用此漏洞，攻击者可能会说服用户运行经特殊设计的应用程序。此安全更新通过更正 Microsoft Office 处理内存中地址的方式来修复漏洞。
缓解因素Microsoft 并未发现此漏洞的任何缓解因素。
变通办法Microsoft 并未发现此漏洞的任何变通办法。
多个 Microsoft Office 信息泄漏漏洞当受影响的 Microsoft Office 软件读取溢出内存时，存在多个信息泄漏漏洞，这可能会泄漏内存内容。成功利用这些漏洞的攻击者可以查看溢出内存。
漏洞攻击要求用户使用受影响的 Microsoft Office 软件版本打开一个经特殊设计的文件。
此安全更新通过正确地初始化受影响的变量来修复漏洞。
缓解因素Microsoft 并未发现这些漏洞的任何缓解因素。
变通办法Microsoft 并未发现这些漏洞的任何变通办法。
Microsoft (MAU) Office 特权提升漏洞 – CVE-2016-7300当适用于 Mac 的 Microsoft AutoUpdate (MAU) 应用程序在执行更新之前不正确地验证更新时，存在权限提升漏洞。成功利用已经能够在系统上执行代码的漏洞的攻击者可以提升权限。为了利用此漏洞，攻击者可以将精心设计的可执行文件放在更新应用程序使用的特定位置，以在特权上下文中执行任意代码。
此更新通过确保 Microsoft AutoUpdate (MAU) for Mac 在安装程序包之前正确验证软件包来解决漏洞。
缓解因素Microsoft 并未发现此漏洞的任何缓解因素。
变通办法Microsoft 并未发现此漏洞的任何变通办法。
安全更新程序部署
有关安全更新程序部署信息，请参阅执行摘要中此处引用的 Microsoft 知识库文章。
鸣谢Microsoft 通过协调漏洞披露渠道认可在安全社区中帮助我们对客户进行保护的人们所做出的努力。有关详细信息，请参阅鸣谢。
免责声明Microsoft 知识库中的信息“按原样”提供，没有任何形式的担保。Microsoft 不作任何明示或暗示保证，包括对适销性和针对特定用途的适用性的保证。Microsoft Corporation 或其供应商不对任何损害（包括直接的、间接的、偶然的、必然的损害、商业利润损失或特殊损害）承担任何责任，即使 Microsoft Corporation 或其供应商事先已被告知有可能发生此类损害。有些州不允许排除或限制必然或偶然损害的赔偿责任，因此上述限制可能不适用。