Microsoft Skype for Business、Microsoft Lync 和 Microsoft Live Meeting 的安全更新（2017 年 9 月）

high Nessus 插件 ID 103123

语言：

简介

远程主机上安装的 Microsoft Skype for Business、Microsoft Lync 或 Microsoft Live Meeting 受到多个漏洞的影响。

描述

远程主机上安装的 Microsoft Skype for Business、Microsoft Lync 或 Microsoft Live Meeting 缺少安全更新。因而会受到多个漏洞的影响：- Windows Uniscribe 未正确披露其内存内容时，存在信息泄露漏洞。成功利用此漏洞的攻击者可获取信息而进一步危害用户系统。攻击者可以通过多种方式利用此漏洞，例如诱使用户打开特制文档或访问不受信任的网页。此更新通过更正 Windows Uniscribe 处理内存对象的方式修复漏洞。(CVE-2017-8695) - Windows 图形设备接口 (GDI) 处理内存对象的方式存在信息泄露漏洞，允许攻击者从目标系统检索信息。就其本身而言，信息泄露不允许任意代码执行，但如果攻击者将其与另一漏洞结合使用，则可允许任意代码运行。若要利用此漏洞，攻击者要登录到受影响的系统并运行特制应用程序。请注意，如果严重程度在“受影响产品”表中显示为“严重”，则预览窗格是此漏洞的攻击媒介。此安全更新通过更正 GDI 处理内存对象的方式修复漏洞。(CVE-2017-8676) - 由于 Windows Uniscribe 处理内存对象的方式，存在远程代码执行漏洞。成功利用此漏洞的攻击者可控制受影响的系统。然后，攻击者可安装程序、查看/更改/删除数据或创建具有完全用户权限的新帐户。其帐户被配置为具备较少系统权限的用户，将比以采用特权帐户进行操作的用户所受的影响更小。攻击者可以通过多种方式利用此漏洞：在基于网站的攻击场景中，攻击者可能拥有专为利用此漏洞而特制的网站，然后诱使用户查看该网站。攻击者无法迫使用户查看由攻击者控制的内容。相反，攻击者会继续诱使用户采取操作，通常是让其点击电子邮件或即时消息中的链接，将用户转至攻击者的网站，或者是打开通过电子邮件发送的附件。在文件共享的攻击场景中，攻击者提供专为利用此漏洞而特制的文档文件，然后诱使用户打开该文档文件。此安全更新通过更正 Windows Uniscribe 处理内存对象的方式修复漏洞。(CVE-2017-8696)