发布时间: 2014年2月11日
版本: 1.0
一般信息摘要此安全更新可解决 Microsoft Windows 的 VBScript 脚本引擎中一个秘密报告的漏洞。如果用户访问特制网站，此漏洞可能允许远程执行代码。攻击者无法强迫用户访问网站。相反，攻击者必须诱使用户执行操作，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接以使用户链接到攻击者的网站。
对于受影响的 Windows 客户端上的 VBScript 脚本引擎的受影响版本，此安全更新的等级为“严重”，对于受影响的 Windows 服务器上的 VBScript 脚本引擎的受影响版本，此安全更新的等级为“中等”。有关详细信息，请参阅本节中“受影响和不受影响的软件”小节。
此安全更新通过修改 VBScript 脚本引擎处理内存中对象的方式来解决漏洞。有关漏洞的详细信息，请参阅下一节“漏洞信息”下面特定漏洞条目的常见问题 (FAQ) 小节。
建议。 大多数客户均启用了自动更新，他们不必采取任何操作，因为此安全更新将自动下载并安装。尚未启用“自动更新”的客户必须检查更新，并手动安装此更新。有关自动更新中特定配置选项的信息，请参阅 Microsoft 知识库文章 294871。
对于管理员、企业安装或者想要手动安装此安全更新的最终用户，Microsoft 建议客户使用更新管理软件立即应用此更新或者利用 Microsoft Update 服务检查更新。
更新常见问题我的系统运行的是 Internet Explorer 9。 更新位于何处 ？
对于运行 Internet Explorer 9 的系统，该漏洞由 Internet Explorer 9 的 2909921 累积性更新解决（有关更新信息和下载链接，请参阅 MS14-010）。
对于所有其他受影响的系统，该漏洞由本公告中所述的更新解决。有关详细信息，请参阅更新常见问题哪些更新适用于我的系统？
如何确定我的系统上安装的 VBScript 脚本引擎版本？
VBScript 脚本引擎与 Microsoft Windows 受支持版本一起安装。此外，在系统上安装 Internet Explorer 的较新版本可以更改安装的 VBScript 脚本引擎版本。
要确定您的系统上安装的 VBScript 脚本引擎版本，请执行以下步骤：
打开 Windows 资源管理器。浏览到 %systemroot%/system32 目录。右键单击 vbscript.dll，选择“属性”，然后单击“详细信息”。 VBScript 内存损坏漏洞 - CVE-2014-0271VBScript 引擎处理内存中对象的方式中存在一个远程执行代码漏洞。该漏洞可能以一种攻击者可以在当前用户的上下文中执行任意代码的方式损坏内存。如果当前用户使用管理用户权限登录，成功利用此漏洞的攻击者便可完全控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。
要在“常见漏洞和披露”列表中以标准条目查看此漏洞，请参阅 CVE-2014-0271。
缓解因素缓解是指一种设置、通用配置或者一般的最佳实践，它以默认状态存在，能够降低利用漏洞的严重性。以下缓解因素在您遇到的情形中可能会有所帮助：
在基于 Web 的攻击情形中，攻击者还可能利用受到破坏的网站以及接受或承载用户提供的内容或广告的网站。这些网站可能包含可以利用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户查看由攻击者控制的内容。相反，攻击者必须诱使用户采取行动，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接以使用户链接到攻击者的网站，或者让用户打开通过电子邮件发送的附件。默认情况下，Microsoft Outlook、Microsoft Outlook Express 和 Windows Mail 的所有支持版本在“受限制的站点”区域中打开 HTML 电子邮件。“受限站点”区域（禁用脚本和 ActiveX 控件）可帮助降低攻击者使用脚本利用此漏洞的风险。在基于 Web 的攻击情形中，如果用户单击电子邮件中的链接，他们可能仍然容易受到利用此漏洞的影响。默认情况下，Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 和 Windows Server 2012 R2 上的 Internet Explorer 在一种称为“增强安全配置”的受限模式下运行。此模式可减轻此漏洞。有关 Internet Explorer 增强安全配置的详细信息，请参阅此漏洞的“常见问题解答”部分。变通办法变通办法是指一种设置或配置更改，它不能从根本上纠正漏洞，但有助于在应用更新之前封堵已知的攻击源。Microsoft 已测试了以下变通方法，并在讨论中指明了变通方法是否会降低功能性：
将 Internet 和本地 Intranet 安全区域设置设为“高”，以便在这些区域中阻止 ActiveX 控件和活动脚本通过更改 Internet 安全区域的设置以阻止 ActiveX 控件和活动脚本，可帮助防止利用此漏洞。通过将浏览器的安全级别设置为“高”可以达到上述目的。
要提高 Internet Explorer 中的浏览安全级别，请执行以下步骤：
在 Internet Explorer 的“工具”菜单上，单击“Internet 选项”。在“Internet 选项”对话框中，单击“安全”选项卡，然后单击“Internet”。在“该区域的安全级别”下，将滑块移至“高”。这会将您访问的所有网站的安全级别均设置为“高”。单击“本地 intranet”。在“该区域的安全级别”下，将滑块移至“高”。这会将您访问的所有网站的安全级别均设置为“高”。单击“确定”，接受更改并返回到 Internet Explorer。注意 如果看不到滑块，请单击“默认级别”，然后再将滑块移至“高”。
注意 将安全级别设置为“高”可能会导致某些网站无法正常工作。在更改此设置后，如果您在使用某个网站时遇到困难，但您确定该站点是安全的，则可以将该站点添加到受信任的站点列表中。在这种情况下，即使安全级别设置为“高”，此站点也可以正常工作。
变通办法的影响。阻止 ActiveX 控件和活动脚本会带来负面影响。Internet 或 Intranet 上的许多网站都使用 ActiveX 或活动脚本来提供附加功能。例如，在线电子商务站点或银行站点可能使用 ActiveX 控件来提供菜单、订购单乃至帐户报表。阻止 ActiveX 控件或活动脚本是一个全局设置，它影响所有 Internet 和 Intranet 站点。如果不希望针对这些站点阻止 ActiveX 控件或活动脚本，请使用“将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域”中概述的步骤。
将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域
在 Internet 区域和本地 Intranet 区域中将 Internet Explorer 设置为阻止 ActiveX 控件和活动脚本之后，可以将受信任的站点添加到 Internet Explorer 的“受信任的站点”区域。这样，您就可以照常使用受信任的网站，同时又有助于防范非受信任站点上的此类攻击。我们建议您只将信任的站点添加到“受信任的站点”区域。
要进行此操作，可执行以下步骤：
在 Internet Explorer 中，单击“工具”，单击“Internet 选项”，然后单击“安全”选项卡。在“请为不同区域的 Web 内容指定安全设置”框中，单击“受信任的站点”，然后单击“站点”。如果您想要添加不需要加密频道的站点，请单击以清除“对该区域中的所有站点要求服务器验证 (https:)”复选框。在“将该网站添加到区域中”框中，键入您信任的站点的 URL，然后单击“添加”。对想添加到区域中的每一个站点重复这些步骤。单击“确定”两次，接受更改并返回到 Internet Explorer。注意 添加您相信不会在您的系统上执行恶意操作的任何站点。特别是，您可能需要添加两个站点：*.windowsupdate.microsoft.com 和 *.update.microsoft.com。这些站点将提供此更新，需要使用 ActiveX 控件来安装更新。
将 Internet Explorer 配置为在 Internet 和本地 Intranet 安全区域中运行活动脚本或禁用活动脚本之前进行提示
通过更改设置，以在 Internet 和本地 Intranet 安全区域中运行活动脚本或禁用活动脚本之前进行提示，可帮助防止利用此漏洞。要进行此操作，可执行以下步骤：
在 Internet Explorer 中，单击“工具”菜单上的“Internet 选项”。单击“安全”选项卡。单击“Internet”，然后单击“自定义级别”。在“设置”下方，在“脚本”部分的“活动脚本”下方单击“提示 ”或“禁用”，然后单击“确定”。单击“本地 Intranet”，然后单击“自定义级别”。在“设置”下方，在“脚本”部分的“活动脚本”下方单击“提示 ”或“禁用”，然后单击“确定”。单击“确定”两次返回到 Internet Explorer。注意 禁用 Internet 和本地 Intranet 安全区域中的活动脚本可能导致某些网站无法正常工作。在更改此设置后，如果您在使用某个网站时遇到困难，但您确定该站点是安全的，则可以将该站点添加到受信任的站点列表中。这将允许站点正常工作。
变通办法的影响。 在运行活动脚本之前提示有负面影响。Internet 或 Intranet 上的许多网站都使用活动脚本来提供附加功能。例如，在线电子商务站点或银行站点可能使用活动脚本来提供菜单、订购单乃至帐户报表。在运行活动脚本之前进行提示是一个全局设置，它影响所有 Internet 和 Intranet 站点。在启用此变通方法后，将会频繁出现提示。对于每一提示，如果您认为信任您所访问的站点，则单击“是”运行活动脚本。如果您不想在访问所有这些网站时进行提示，请使用“将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域”中概述的步骤。
将您信任的站点添加到 Internet Explorer 的“受信任的站点”区域
在将 Internet Explorer 设置为在 Internet 区域和本地 Intranet 区域运行 ActiveX 控件和活动脚本之前需要提示之后，可以将受信任的站点添加到 Internet Explorer 的“受信任的站点”区域。这样，您就可以照常使用受信任的网站，同时又有助于防范非受信任站点上的此类攻击。我们建议您只将信任的站点添加到“受信任的站点”区域。
要进行此操作，可执行以下步骤：
在 Internet Explorer 中，单击“工具”，单击“Internet 选项”，然后单击“安全”选项卡。在“请为不同区域的 Web 内容指定安全设置”框中，单击“受信任的站点”，然后单击“站点”。如果您想要添加不需要加密频道的站点，请单击以清除“对该区域中的所有站点要求服务器验证 (https:)”复选框。在“将该网站添加到区域中”框中，键入您信任的站点的 URL，然后单击“添加”。对想添加到区域中的每一个站点重复这些步骤。单击“确定”两次，接受更改并返回到 Internet Explorer。注意 添加您相信不会在您的系统上执行恶意操作的任何站点。特别是，您可能需要添加两个站点：*.windowsupdate.microsoft.com 和 *.update.microsoft.com。这些站点将提供此更新，需要使用 ActiveX 控件来安装更新。
常见问题 此漏洞的影响范围有多大？
这是一个远程执行代码漏洞。
造成此漏洞的原因是什么？
当 Internet Explorer 中呈现的 VBScript 引擎未正确处理内存中的对象时，会导致漏洞。
什么是 VBScript ？
VBScript（Visual Basic 脚本）是一种解释型的、基于对象的脚本语言，通常用于使网站更灵活或更互动。VBScript 脚本只能在解释器或主机（例如 Active Server Pages (ASP)、Internet Explorer 或 Windows Script Host）存在的情况下运行。有关详细信息，请参阅 VBScript 基本原理。
攻击者可能利用此漏洞执行什么操作？
成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，成功利用此漏洞的攻击者便可完全控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。
攻击者如何利用此 漏洞？
在基于 Web 的攻击情形中，攻击者可能拥有一个旨在通过 Internet Explorer 利用此漏洞的特制网站，然后诱使用户查看该网站。攻击者也可能在宿主 IE 呈现引擎的应用程序或 Microsoft Office 文档中嵌入标有“安全初始化”的 ActiveX 控件。攻击者还可能利用受到破坏的网站以及接受或宿主用户提供的内容或广告的网站。这些网站可能包含可以利用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户查看由攻击者控制的内容。相反，攻击者必须诱使用户采取行动，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接以使用户链接到攻击者的网站，或者让用户打开通过电子邮件发送的附件。
受此漏洞威胁最大的系统有哪些？
频繁使用 Internet Explorer 的系统（如工作站或终端服务器）受此漏洞的威胁最大。
我当前运行适用于 Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 或 Windows Server 2012 R2 的 Internet Explorer。这是否会缓解此漏洞的影响？
是。默认情况下，Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 和 Windows Server 2012 R2 上的 Internet Explorer 在一种称为“增强安全配置”的受限模式下运行。增强安全配置是一组预先配置好的 Internet Explorer 设置，可以减小用户或管理员在服务器上下载并运行特制 Web 内容的可能性。此缓解因素适用于未被添加到 Internet Explorer“受信任的站点”区域的网站。
此更新有什么作用？
此更新通过修改 VBScript 脚本引擎处理内存中对象的方式来解决漏洞。
发布此安全公告时，此漏洞是否已公开披露？
否。Microsoft 通过协调漏洞披露渠道了解到有关此漏洞的信息。
在发布此安全公告时，Microsof t 是否收到任何有关这些漏洞已被利用的报告？
否。在最初发布此安全公告时，Microsoft 未收到任何表明此漏洞已公开用于攻击用户的信息。
许多资源可帮助管理员部署安全更新。
管理员可使用 Microsoft Baseline Security Analyzer (MBSA) 在本地和远程系统中扫描缺少的安全更新和常见的安全配置错误。 Windows Server Update Services (WSUS)、Systems Management Server (SMS) 和 System Center Configuration Manager 帮助管理员分发安全更新。 Application Compatibility Toolkit 随附的更新兼容性评估程序组件针对安装的应用程序协助简化 Windows 更新的测试和验证。有关可用的这些工具和其他工具的信息，请参阅 IT 专业人员安全工具。
其他信息 Microsoft Active Protections Program (MAPP)为改进客户的安全保护，Microsoft 在发布每月安全更新之前将向主要的安全软件供应商提供漏洞信息。然后，安全软件供应商可以使用该漏洞信息通过其安全软件或者设备向客户提供更新的保护，例如防病毒、基于网络的入侵检测系统或者基于主机的入侵防止系统。要确定是否可从安全软件供应商处得到活动保护，请转到计划合作伙伴（在 Microsoft Active Protections Program (MAPP) 合作伙伴中列出）提供的活动保护网站。
支持如何获取此安全更新的帮助和支持
有关安装更新的帮助： Microsoft Update 支持面向 IT 专业人员的安全解决方案： TechNet 安全故障排除和支持帮助保护运行 Windows 的计算机免遭病毒和恶意软件攻击： 病毒解决方案和安全中心本地支持（根据您的国家/地区）： 国际支持免责声明Microsoft 知识库中的信息“按原样”提供，没有任何形式的担保。Microsoft 不作任何明示或暗示保证，包括对适销性和针对特定目的的适用性的保证。Microsoft Corporation 或其供应商不对任何损害（包括直接的、间接的、偶然的、必然的损害，商业利润损失，或特殊损害）承担任何责任，即使 Microsoft Corporation 或其供应商事先已被告知有可能发生此类损害。有些州不允许排除或限制必然或偶然损害的赔偿责任，因此上述限制可能不适用。