3项严重级+Win10/8.1 IE更新 微软发布10月安全补丁更新详情

微软公司今日如期发布了10月份安全更新、修复补丁，总共包含8枚补丁，其中包含了三项严重级别安全更新。据微软MSDN安全公告介绍，本次更新累计修补了24个通用产品安全漏洞（CVEs），涵盖Windows、Internet  Explorer、.Net Framework、.ASP.NET以及Office等产品。

其中一枚IE累积功能更新补丁被标记为严重级别，在用户查看特定网页或者打开电子邮件中的链接时，会被远程执行代码。攻击者借此可以获取当前用户权限，尤其对那些喜欢直接使用管理员账户的用户，影响更加显著。建议用户及时进行更新修复。

微软10月份安全更新详细内容，参考如下：

• MS14-056：Internet Explorer 的累积性安全更新 (2987107)   （严重）

此安全更新可解决 Internet Explorer 中 14 个秘密报告的漏洞。最严重的漏洞可能在用户使用 Internet Explorer 查看特制网页时允许远程执行代码。成功利用这些漏洞的攻击者可以获得与当前用户相同的用户权限。那些帐户被配置为拥有较少系统用户权限的客户比具有管理用户权限的客户受到的影响要小。

• MS14-057：.NET Framework 中的漏洞可能允许远程执行代码 (3000414) （严重）

此安全更新可解决 Microsoft .NET Framework 中三个秘密报告的漏洞。如果攻击者将包含国际字符的特制 URI 请求发送到 .NET Web 应用程序，则其中最严重的漏洞可能允许远程执行代码。在 .NET 4.0 应用程序中，容易受到攻击的功能 (iriParsing) 默认情况下被禁用；要利用该漏洞，应用程序必须明确启用此功能。在 .NET 4.5 应用程序中，iriParsing 默认情况下启用，不能被禁用。

• MS14-058：内核模式驱动程序中的漏洞可能允许远程执行代码 (3000061)  （严重）

此安全更新可解决 Microsoft Windows 中两个秘密报告的漏洞。如果攻击者诱使用户打开特制文档或访问包含嵌入 TrueType 字体的不受信任的网站，则其中较为严重的漏洞可能允许远程执行代码。但是在所有情况下，攻击者无法强制用户执行这些操作。相反，攻击者必须说服用户这样做，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接。

• MS14-059：ASP.NET MVC 中的漏洞可能允许绕过安全功能 (2990942) （重要）

此安全更新解决了 ASP.NET MVC 中一个公开披露的漏洞。如果攻击者诱使用户单击特制链接或访问包含旨在利用漏洞的特制内容的网页，则此漏洞可能允许绕过安全功能。在基于 Web 的攻击情形中，攻击者可能拥有一个旨在通过 Web 浏览器利用漏洞的特制网站，然后诱使用户查看该网站。攻击者还可能利用受到破坏的网站以及接受或宿主用户提供的内容或广告的网站。这些网站可能包含可以利用此漏洞的特制内容。但是在所有情况下，攻击者无法强制用户查看由攻击者控制的内容。相反，攻击者必须诱使用户采取行动，方法通常是让用户单击电子邮件或 Instant Messenger 消息中的链接以使用户链接到攻击者的网站，或者让用户打开通过电子邮件发送的附件。 

• MS14-060：Windows OLE 中的漏洞可能允许远程执行代码 (3000869) （重要）

此安全更新可解决 Microsoft Windows 中一个秘密报告的漏洞。如果用户打开包含特制 OLE 对象的 Microsoft Office 文件，则该漏洞可能允许远程执行代码。成功利用此漏洞的攻击者可以在当前用户的上下文中运行任意代码。如果当前用户使用管理用户权限登录，则攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。那些帐户被配置为拥有较少用户权限的用户比具有管理用户权限的用户受到的影响要小。

• MS14-061：Microsoft Word 和 Office Web Apps 中的漏洞可能允许远程执行代码 (3000434)  （重要）

此安全更新可解决 Microsoft Office 中一个秘密报告的漏洞。如果攻击者诱使用户打开特制 Microsoft Word 文件，此漏洞可能允许远程执行代码。成功利用该漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，则攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。那些帐户被配置为拥有较少用户权限的用户比具有管理用户权限的用户受到的影响要小。

• MS14-062：消息队列服务中的漏洞可能允许特权提升 (2993254)  （重要）

此安全更新可解决 Microsoft Windows 中一个公开披露的漏洞。如果攻击者向消息队列服务发送特制输入/输出控制 (IOCTL) 请求，则该漏洞可能允许特权提升。成功利用此漏洞便可完全访问受影响的系统。默认情况下，消息队列组件不安装在任何受影响的操作系统版本上，而仅由具有管理特权的用户启用。只有手动启用“消息队列服务”组件的客户才可能受此问题的影响。

• MS14-063：FAT32 磁盘分区驱动程序中的漏洞可能允许特权提升 (2998579)  （重要）

此安全更新可解决 Microsoft Windows 中一个秘密报告的漏洞。Windows FASTFAT 系统驱动程序与 FAT32 磁盘分区进行交互的方式中存在一个特权提升漏洞。成功利用此漏洞的攻击者可以使用提升的特权执行任意代码。

本次IE11更新还带来了部分功能上的变化，例如新的标签卡页面新增Bing搜索栏、原来经常访问的站点模块下移等。