TACERT台灣學術網路危機處理中心

※安全通報資訊

安全通報類型	微軟安全通報
發佈日期	2012-08-14
標題	Microsoft Security Bulletin MS12-060 - 重大(Windows 通用控制項中的資訊安全風險可能會允許遠端執行程式碼)
CVE	CVE-2012-1856
BID
影響平台	對於在其預設安裝中包含 Windows 通用控制項的所有受支援 Microsoft 軟體版本，此資訊安全更新的等級是「重大」。這包含所有受支援版本的 Microsoft Office 2003、Microsoft Office 2007、Microsoft Office 2010 (x64 版本除外)；Microsoft SQL Server 2000 Analysis Services、Microsoft SQL Server 2000 (Itanium 版本除外)、Microsoft SQL Server 2005 (Microsoft SQL Server 2005 Express Edition 除外，但包含 Microsoft SQL Server 2005 Express Edition with Advanced Services)、Microsoft SQL Server 2008、Microsoft SQL Server 2008 R2、Microsoft Commerce Server 2002、Microsoft Commerce Server 2007、Microsoft Commerce Server 2009、Microsoft Commerce Server 2009 R2、Microsoft Host Integration Server 2004 Service Pack 1、Microsoft Visual FoxPro 8.0、Microsoft Visual FoxPro 9.0 和 Visual Basic 6.0 Runtime。
說明	此資訊安全更新可解決 Windows 通用控制項中一項未公開報告的資訊安全風險。如果使用者瀏覽的網站包含針對此資訊安全風險設計的蓄意製作內容，此項資訊安全風險可能允許遠端執行程式碼。但是，在所有情況下，攻擊者都無法強迫使用者造訪此類網站。而是引誘使用者自行前往。一般的做法是設法讓使用者按一下電子郵件中或 Instant Messenger 訊息中連往攻擊者網站的連結。惡意檔案亦可作為電子郵件的附件傳送，但攻擊者必須說服使用者開啟附件，才能利用此資訊安全風險。此資訊安全更新可停用受風險影響的 Windows 通用控制項版本，並以不含此資訊安全風險的新版本取代舊版本，藉以解決此資訊安全風險。
解決方式	客戶可設定自動更新，藉由使用 Microsoft Update 服務，線上檢查來自於 Microsoft Update 的更新。客戶若已啟用自動更新，且設定線上檢查來自於 Microsoft Update 的更新，通常無需採取任何行動，因為將會自動下載和安裝此資訊安全更新。沒有啟用自動更新的客戶則必須檢查來自於 Microsoft Update 的更新，
相關資訊連結	http://technet.microsoft.com/zh-tw/security/bulletin/ms12-060
相關修正資訊連結	http://technet.microsoft.com/zh-tw/security/bulletin/ms12-060