20140812，微软8月12日发布9个安全补丁
大家好，我们是微软大中华区安全支持团队。
微软于北京时间2014年8月12日发布了9个新的安全公告，其中2个为严重等级，7个为重要等级，共修复SQL Server, OneNote, SharePoint, .NET, Windows和 Internet Explorer (IE)中的37个漏洞。与以往一样，我们推荐您安装所有更新，对于暂时只采用部分更新的用户，我们推荐您首先部署安全公告MS14-051、MS14-043和MS14-048来更新Internet Explorer、Media Center和One Note。
其中MS14-051可解决 Internet Explorer 中一个公开披露的漏洞和 25 个秘密报告的漏洞。最严重的漏洞可能在用户使用 Internet Explorer 查看特制网页时允许远程执行代码。成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。
MS14-043可解决 Microsoft Windows 中一个秘密报告的漏洞。如果用户打开可调用 Windows Media Center 资源的特制 Microsoft Office 文件，此漏洞可能允许远程执行代码。成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限。
MS14-048可解决 Microsoft OneNote 中一个秘密报告的漏洞。如果特制文件在 Microsoft OneNote 的受影响版本中打开，该漏洞可能允许远程执行代码。成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限。
同时微软还重新发布了一个安全公告：
安全公告 MS14-036 | 组件中的漏洞可能允许远程执行代码
此安全更新解决了 Microsoft Windows、Microsoft Office 和 Microsoft Lync 中 2 个秘密报告的漏洞。如果用户打开特制文件或网页，则漏洞可能允许远程执行代码。那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。Microsoft 重新发布此公告是为了宣布在 Microsoft Office 2010 Service Pack 1 和 Microsoft Office 2010 Service Pack 2 上提供更新 2881071。
同时微软还重新发布了一个安全通报：
安全通报 2755801 | Internet Explorer 中 Adobe Flash Player 中的漏洞的更新
Microsoft 宣布推出针对受支持的 Windows 8、Windows Server 2012、Windows RT、Windows 8.1、Windows Server 2012 R2 和 Windows RT 8.1 版本中的 Internet Explorer 上的 Adobe Flash Player 更新。该更新通过更新 Internet Explorer 10 和 Internet Explorer 11 中包含的受影响的 Adobe Flash 库来解决漏洞。2014 年 8 月 12 日，Microsoft 针对 Windows 8、Windows Server 2012 和 Windows RT 上的 Internet Explorer 10 以及 Windows 8.1、Windows Server 2012 R2 和 Windows RT 8.1 上的 Internet Explorer 11 发布了一个更新 (2982794)。该更新解决了 Adobe 安全公告 APSB14-18 中描述的漏洞。
下表概述了本月的安全公告(按严重性排序)
公告 ID |
公告标题和摘要 |
最高严重等级和漏洞影响 |
重新启动要求 |
受影响的软件 |
Internet Explorer 的累积性安全更新 (2976627) 此安全更新可解决 Internet Explorer 中一个公开披露的漏洞和 25 个秘密报告的漏洞。最严重的漏洞可能在用户使用 Internet Explorer 查看特制网页时允许远程执行代码。成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。那些帐户被配置为拥有较少系统用户权限的客户比具有管理用户权限的客户受到的影响要小。 |
严重 远程执行代码 |
需要重启动 |
Microsoft Windows， Internet Explorer |
|
Windows Media Center 中的漏洞可能允许远程执行代码 (2978742) 此安全更新可解决 Microsoft Windows 中一个秘密报告的漏洞。如果用户打开可调用 Windows Media Center 资源的特制 Microsoft Office 文件，此漏洞可能允许远程执行代码。成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限。那些帐户被配置为拥有较少系统用户权限的客户比具有管理用户权限的客户受到的影响要小。 |
严重 远程执行代码 |
可能要求重新启动 |
Microsoft Windows |
|
OneNote 中的漏洞可能允许远程执行代码 (2977201) 此安全更新可解决 Microsoft OneNote 中一个秘密报告的漏洞。如果特制文件在 Microsoft OneNote 的受影响版本中打开，该漏洞可能允许远程执行代码。成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限。那些帐户被配置为拥有较少系统用户权限的客户比具有管理用户权限的客户受到的影响要小。 |
重要 远程执行代码 |
可能要求重新启动 |
Microsoft Office |
|
SQL Server 中的漏洞可能允许特权提升 (2984340) 此安全更新可解决 Microsoft SQL Server 中两个秘密报告的漏洞（SQL Server Master Data Services 中一个，SQL Server 关系数据库管理系统中一个）。其中较严重的漏洞影响 SQL Server Master Data Services，如果用户访问会将客户端脚本注入用户的 Internet Explorer 实例中的特制网站，该漏洞可能允许特权提升。在所有情况下，攻击者无法强制用户查看由攻击者控制的内容。相反，攻击者必须诱使用户采取行动，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接以使用户链接到攻击者的网站，或者让用户打开通过电子邮件发送的附件。 |
重要 特权提升 |
可能要求重新启动 |
Microsoft SQL Server |
|
内核模式驱动程序中的漏洞可能允许特权提升 (2984615) 此安全更新解决 Microsoft Windows 中三个秘密报告的漏洞。如果攻击者登录系统并运行特制应用程序，最严重的漏洞可能允许特权提升。攻击者必须拥有有效的登录凭据并能本地登录才能利用这些漏洞。 |
重要 特权提升 |
需要重启动 |
Microsoft Windows |
|
Windows Installer 服务中的漏洞可能允许特权提升 (2962490) 此安全更新可解决 Microsoft Windows 中一个秘密披露的漏洞。如果攻击者运行特制的应用程序而试图修复以前安装的应用程序，该漏洞可能允许特权提升。攻击者必须拥有有效的登录凭据并能本地登录才能利用此漏洞。 |
重要 特权提升 |
可能要求重新启动 |
Microsoft Windows |
|
Microsoft SharePoint Server 中的漏洞可能允许特权提升 (2977202) 此安全更新可解决 Microsoft SharePoint Server 中一个秘密报告的漏洞。经过身份验证的攻击者如果成功利用此漏洞，就可以使用特制的应用程序在当前 SharePoint 网站上该用户的上下文中运行任意 JavaScript。 |
重要 特权提升 |
可能要求重新启动 |
Microsoft Server 软件 |
|
.NET Framework 中的漏洞可能允许绕过安全功能 (2984625) 此安全更新可解决 Microsoft .NET Framework 中的一个秘密报告的漏洞。如果用户访问特制网站，此漏洞可能允许绕过安全功能。在 Web 浏览攻击情形中，成功利用此漏洞的攻击者可能会绕过地址空间布局随机化 (ASLR) 安全功能，它有助于保护用户免遭多种漏洞。该安全功能绕过本身不允许执行任意代码。但是，攻击者可以将此 ASLR 绕过漏洞与另一个漏洞（如远程执行代码漏洞）组合使用，从而利用 ASLR 绕过漏洞来运行任意代码。 |
重要 安全功能绕过 |
可能要求重新启动 |
Microsoft Windows， Microsoft .NET Framework |
|
LRPC 中的漏洞可能允许绕过安全功能 (2978668) 此安全更新可解决 Microsoft Windows 中一个秘密报告的漏洞。如果攻击者将此漏洞与另一个漏洞（如远程执行代码漏洞）结合使用，就可以利用 ASLR 绕过漏洞来运行任意代码，那么此漏洞可能允许绕过安全功能。 |
重要 安全功能绕过 |
需要重启动 |
Microsoft Windows |
Microsoft 将在 2014 年 8月 13 日上午 11 点（美国和加拿大太平洋夏令时时间）进行网络广播，以解答客户关于这些公告的疑问。立即注册申请收听 8 月份安全公告网络广播。
详细信息请参考2014年8月安全公告摘要：
https://technet.microsoft.com/en-us/library/security/ms14-aug
微软安全响应中心博客文章(英文)：
https://blogs.technet.com/b/msrc/archive/2014/08/12/august-2014-security-updates.aspx
微软大中华区安全支持团队