20141015，微软10月15日发布8个安全补丁
大家好，我们是微软大中华区安全支持团队。
微软于北京时间2014年10月15日发布了8个新的安全公告，其中3个为严重等级，5个为重要等级，共修复Windows, Office、 NET Framework、 ASP.NET和Internet Explorer (IE)中的24个漏洞。与以往一样，我们推荐您安装所有更新，对于暂时只采用部分更新的用户，我们推荐您首先部署等级为“严重”的安全公告。
其中MS14-056可解决 Internet Explorer 中 14 个秘密报告的漏洞。最严重的漏洞可能在用户使用 Internet Explorer 查看特制网页时允许远程执行代码。成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。
MS14-057可解决 Microsoft .NET Framework 中三个秘密报告的漏洞。如果攻击者将包含国际字符的特制 URI 请求发送到 .NET Web 应用程序，则其中最严重的漏洞可能允许远程执行代码
MS14-058可解决 Microsoft Windows 中两个秘密报告的漏洞。如果攻击者诱使用户打开特制文档或访问包含嵌入 TrueType 字体的不受信任的网站，则其中较为严重的漏洞可能允许远程执行代码。
本月微软发布了三个安全通报：
微软宣布针对 Windows7、Windows Server 2008 R2、Windows 8、Windows Server 2012、Windows RT、Windows 8.1、Windows Server 2012 R2 和 Windows RT 8.1 的受支持版本提供更新，增强了凭据保护和域身份验证控件以减少凭据盗窃。
针对 Windows 7 和 Windows Server 2008 R2 提供 SHA-2 哈希算法（ 2949927 ）
微软宣布针对 Windows 7 和 Windows Server 2008 R2 的所有受支持版本提供一个更新，以便添加 SHA-2 签名和验证功能支持。Windows 8、Windows 8.1、Windows Server 2012、Windows Server 2012 R2、Windows RT 和 Windows RT 8.1 不需要此更新，因为 SHA-2 签名和验证功能已包含在这些操作系统中。此更新不适用于 Windows Server 2003、Windows Vista 或 Windows Server 2008。
支持使用 TLS 的 Microsoft EAP 实施更新（ 2977292 ）
微软宣布针对 Microsoft 可扩展身份验证协议 (EAP) 实施提供适用于 Windows 7、Windows Server 2008 R2、Windows 8, Windows 8.1、Windows Server 2012 和 Windows RT 的受支持版本的更新，该更新支持通过修改系统注册表项来使用传输层安全性 (TLS) 1.1 或 1.2。
同时微软还修正了一个安全公告：
安全公告 MS14-042 | Microsoft Service Bus 中的漏洞可能允许拒绝服务
此安全更新解决了 Microsoft Service Bus for Windows Server 中一个公开披露的漏洞。如果经过身份验证的远程攻击者创建并运行一个程序来向目标系统发送一系列特制高级消息队列服务协议 (AMQP) 消息，则该漏洞可能允许拒绝服务。重新发布此公告是为了宣布除了最初发布此公告时提供的“仅限下载中心”选项之外通过 Microsoft Update 提供安全更新。已经成功更新了其系统的客户不需要执行任何操作。
同时微软还修正了一个安全通报：
安全通报 2755801 | Internet Explorer 中 Adobe Flash Player 中的漏洞的更新
Microsoft 宣布推出针对受支持的 Windows 8、Windows Server 2012、Windows RT、Windows 8.1、Windows Server 2012 R2 和 Windows RT 8.1 版本中的 Internet Explorer 上的 Adobe Flash Player 更新。该更新通过更新 Internet Explorer 10 和 Internet Explorer 11 中包含的受影响的 Adobe Flash 库来解决漏洞。2014 年 10 月 14 日，Microsoft 针对 Windows 8、Windows Server 2012 和 Windows RT 上的 Internet Explorer 10 以及 Windows 8.1、Windows Server 2012 R2 和 Windows RT 8.1 上的 Internet Explorer 11 发布了一个更新 (3001237)。该更新解决了 Adobe 安全公告 APSB14-22 中描述的漏洞。
同时，微软宣布了即将到来的关于屏蔽旧版本的ActiveX控件的功能的更新。从2014年11月12日开始，除了旧版本的Java以外，旧版本的Silverlight也将被屏蔽。同时，该功能也将增加对Windows Vista SP2和Windows Server 2008 SP2上的Internet Explorer 9的支持。更多信息，请访问IEBlog。
下表概述了本月的安全公告(按严重性排序)
公告 ID |
公告标题和摘要 |
最高严重等级和漏洞影响 |
重新启动要求 |
受影响的软件 |
Internet Explorer 的累积性安全更新 (2987107) 此安全更新可解决 Internet Explorer 中 14 个秘密报告的漏洞。最严重的漏洞可能在用户使用 Internet Explorer 查看特制网页时允许远程执行代码。成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。那些帐户被配置为拥有较少系统用户权限的客户比具有管理用 户权限的客户受到的影响要小。 |
严重 远程执行代码 |
需要重启动 |
Microsoft Windows， Internet Explorer |
|
.NET Framework 中的漏洞可能允许远程执行代码 (3000414) 此 安全更新可解决 Microsoft .NET Framework 中三个秘密报告的漏洞。如果攻击者将包含国际字符的特制 URI 请求发送到 .NET Web 应用程序，则其中最严重的漏洞可能允许远程执行代码。在 .NET 4.0 应用程序中，容易受到攻击的功能 (iriParsing) 默认情况下被禁用；要利用该漏洞，应用程序必须明确启用此功能。在 .NET 4.5 应用程序中，iriParsing 默认情况下启用，不能被禁用。 |
严重 远程执行代码 |
可能要求重新启动 |
Microsoft Windows， Microsoft .NET Framework |
|
内核模式驱动程序中的漏洞可能允许远程执行代码 (3000061) 此 安全更新可解决 Microsoft Windows 中两个秘密报告的漏洞。如果攻击者诱使用户打开特制文档或访问包含嵌入 TrueType 字体的不受信任的网站，则其中较为严重的漏洞可能允许远程执行代码。但是在所有情况下，攻击者无法强制用户执行这些操作。相反，攻击者必须说服用户这样 做，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接。 |
严重 远程执行代码 |
需要重启动 |
Microsoft Windows |
|
ASP.NET MVC 中的漏洞可能允许绕过安全功能 (2990942) 此 安全更新解决了 ASP.NET MVC 中一个公开披露的漏洞。如果攻击者诱使用户单击特制链接或访问包含旨在利用漏洞的特制内容的网页，则此漏洞可能允许绕过安全功能。在基于 Web 的攻击情形中，攻击者可能拥有一个旨在通过 Web 浏览器利用漏洞的特制网站，然后诱使用户查看该网站。攻击者还可能利用受到破坏的网站以及接受或宿主用户提供的内容或广告的网站。这些网站可能包含可以利 用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户查看由攻击者控制的内容。相反，攻击者必须诱使用户采取行动，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接以使用户链接到攻击者的网站，或者让用户打开通过电子邮件发送的附件。 |
重要 安全功能绕过 |
可能要求重新启动 |
Microsoft 开发工具 |
|
Windows OLE 中的漏洞可能允许远程执行代码 (3000869) 此 安全更新可解决 Microsoft Windows 中一个秘密报告的漏洞。如果用户打开包含特制 OLE 对象的 Microsoft Office 文件，则该漏洞可能允许远程执行代码。成功利用此漏洞的攻击者可以在当前用户的上下文中运行任意代码。如果当前用户使用管理用户权限登录，则攻击者可随后 安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。那些帐户被配置为拥有较少用户权限的用户比具有管理用户权限的用户受到的影响要小。 |
重要 远程执行代码 |
可能要求重新启动 |
Microsoft Windows |
|
Microsoft Word 和 Office Web Apps 中的漏洞可能允许远程执行代码 (3000434) 此 安全更新可解决 Microsoft Office 中一个秘密报告的漏洞。如果攻击者诱使用户打开特制 Microsoft Word 文件，此漏洞可能允许远程执行代码。成功利用该漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，则攻击者可随后安装程 序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。那些帐户被配置为拥有较少用户权限的用户比具有管理用户权限的用户受到的影响要小。 |
重要 远程执行代码 |
可能要求重新启动 |
Microsoft Office， Microsoft Office 服务， Microsoft Office Web Apps |
|
消息队列服务中的漏洞可能允许特权提升 (2993254) 此 安全更新可解决 Microsoft Windows 中一个公开披露的漏洞。如果攻击者向消息队列服务发送特制输入/输出控制 (IOCTL) 请求，则该漏洞可能允许特权提升。成功利用此漏洞便可完全访问受影响的系统。默认情况下，消息队列组件不安装在任何受影响的操作系统版本上，而仅由具有管 理特权的用户启用。只有手动启用“消息队列服务”组件的客户才可能受此问题的影响。 |
重要 特权提升 |
需要重启动 |
Microsoft Windows |
|
FAT32 磁盘分区驱动程序中的漏洞可能允许特权提升 (2998579) 此安全更新可解决 Microsoft Windows 中一个秘密报告的漏洞。Windows FASTFAT 系统驱动程序与 FAT32 磁盘分区进行交互的方式中存在一个特权提升漏洞。成功利用此漏洞的攻击者可以使用提升的特权执行任意代码。 |
重要 特权提升 |
需要重启动 |
Microsoft Windows |
Microsoft 将在 2014 年 10月 15 日上午 11 点（美国和加拿大太平洋夏令时时间）进行网络广播，以解答客户关于这些公告的疑问。立即注册申请收听 10月份安全公告网络广播。
详细信息请参考2014年10月安全公告摘要：
https://technet.microsoft.com/en-us/library/security/ms14-oct
微软安全响应中心博客文章(英文)：
https://blogs.technet.com/b/msrc/archive/2014/10/14/october-2014-updates.aspx
微软大中华区安全支持团队