20160113，微软1月13日发布9个安全补丁

大家好，我们是微软大中华区安全支持团队。

微软于北京时间2016年1月13日发布了9个新的安全公告，其中6个为严重等级，3个为重要等级，修复了Microsoft Windows、Microsoft Office、Microsoft Exchange、Microsoft Silverlight、Internet Explorer和Microsoft Edge软件中的漏洞。其中MS16-001、MS16-004、MS16-005和MS16-007中所修复的漏洞已经公开披露，MS16-006和MS16-008中所修复的漏洞已发现被利用。

 

与此同时，重新发布了三个安全公告：

 

安全通报 3109853 | 用于提高 TLS 会话恢复互操作性的更新

该更新可以提高基于 Schannel 的 TLS 客户端和第三方 TLS 服务器之间的互操作性，第三方 TLS 服务器须启用基于 RFC5077 的恢复并且以缩略的 TLS 握手形式发送 NewSessionTicket 消息。此更新解决了 schannel.dll 中的一个问题，该问题可能导致基于 RFC5077 会话票证的恢复失败并随后引起基于 WinInet 的客户端（例如，Internet Explorer 和 Microsoft Edge）对更低 TLS 协议版本（而不是应协商的协议版本）执行回退。

 

安全通报 3118753 | ActiveX Kill Bit 更新

Microsoft 随此通报发布了一套新的 ActiveX kill bit。这些 ActiveX kill bit 包含在 2016 年 1 月 12 日发布的 Internet Explorer 累积更新中。此更新为下列第三方软件设置 kill bit：

• IBM Endpoint Manager for Remote Control（9.0.1 版本和更高版本）和 IBM Assist On-site（4.0.0 版本）。以下与 IBM 请求有关的类识别符会为易受攻击的 ActiveX 控件设置一个 kill bit。此 ActiveX 控件的类标识符 (CLSID) 为：{D4C0DB38-B682-42A8-AF62-DB9247543354}

 

安全通报 3123479 | Microsoft 根证书计划弃用 SHA-1 哈希算法

Microsoft 已发布 SHA-1 代码签名弃用变更（自 2016 年 1 月 1 日起生效），此次变更重点关注的客户端活动只有当客户从 Internet 上下载文件时才会发生。此变更特定于新的 Windows 默认设置，客户可以在其环境中覆盖或增加此默认设置。

 

补丁列表如下：

公告 ID	公告标题和执行摘要	最高严重等级 和漏洞影响	重启要求	受影响的软件
MS16-001	Internet Explorer 的累积安全更新 (3124903)	严重  远程执行代码	需要重启	Microsoft Windows、Internet Explorer
MS16-002	Microsoft Edge 的累积安全更新 (3124904)	严重  远程执行代码	需要重启	Microsoft Windows、Microsoft Edge
MS16-003	用于修复远程执行代码漏洞的 JScript 和 VBScript 累积安全更新 (3125540)	严重  远程执行代码	可能要求重新启动	Microsoft Windows
MS16-004	用于修复远程执行代码漏洞的 Microsoft Office 安全更新 (3124585)	严重  远程执行代码	可能要求重新启动	Microsoft Office、 Visual Basic
MS16-005	用于修复远程执行代码漏洞的 Windows 内核模式驱动程序安全更新 (3124584)	严重  远程执行代码	需要重启	Microsoft Windows
MS16-006	用于修复远程执行代码漏洞的 Silverlight 安全更新 (3126036)	严重  远程执行代码	无需重启	Microsoft Silverlight
MS16-007	用于修复远程执行代码漏洞的 Microsoft Windows 安全更新 (3124901)	重要  远程执行代码	需要重启	Microsoft Windows
MS16-008	用于修复特权提升漏洞的 Windows 内核安全更新 (3124605)	重要  特权提升	需要重启	Microsoft Windows
MS16-010	用于修复欺骗漏洞的 Microsoft Exchange Server 安全更新 (3124557)	重要  欺骗	可能要求重新启动	Microsoft Exchange Server

 

详细信息请参考2016年1月安全公告摘要：

https://technet.microsoft.com/library/security/ms16-Jan