微軟發布 12 月安全更新：修復 14 項漏洞，涵蓋 Win10/Win7/Win8.1 等多版本

微軟於 12 月 9 日凌晨推送了 12 月份的安全更新（Patch Tuesday），本月共包含 14 項安全公告，其中 4 項評級為「嚴重」，10 項為「重要」。受影響範圍極廣，涵蓋 Windows Vista、Windows 7、Windows 8、Windows 8.1、Windows 10、Windows Server 2008/2012（含 R2）、Windows RT/RT 8.1，以及 Microsoft Office 2007/2010/2013/2013 RT 等產品。強烈建議用戶立即透過 Windows Update 下載安裝。

本月關鍵修復內容摘要

1. SQL Server 遠端程式碼執行漏洞 (MS15-135, KB3065718)

經驗證的攻擊者若執行特製查詢，可能導致遠端程式碼執行。利用條件需具備建立或修改資料庫的權限。

2. Internet Explorer 累積安全更新 (MS15-134, KB3076321)

修復多個記憶體損毀漏洞，攻擊者誘使用戶瀏覽惡意網頁即可在當前使用者權限下執行任意程式碼。權限較低的帳戶受影響較小。

3. VBScript 腳本引擎漏洞 (MS15-133, KB3072604)

若用戶造訪特製網站，攻擊者可取得與當前使用者相同的權限；若為管理員權限，則可完全控制系統。

4. 遠端桌面協定 (RDP) 漏洞 (MS15-132, KB3073094)

攻擊者向啟用 RDP 的系統發送特製封包即可遠端執行程式碼。預設 RDP 未啟用，未開啟者無風險。

5. Windows Hyper-V 漏洞 (MS15-131, KB3072000)

經驗證的特權用戶在客體虛擬機執行特製應用程式，可能導致宿主環境遠端程式碼執行。需具備有效的客體 VM 登入憑證。

6. Windows DLL 預載入漏洞 (MS15-130, KB3072631)

攻擊者將特製 DLL 放置於目標工作目錄，誘使用戶開啟 RTF 或啟動易受攻擊的應用程式，可完全控制系統。

7. Microsoft Office 遠端程式碼執行 (MS15-129, KB3072620)

開啟特製 Office 文件即可觸發，攻擊者可在當前使用者內容下執行任意程式碼。

8. Netlogon 特權提升 (MS15-128, KB3068457)

攻擊者若能存取主網域控制器 (PDC) 並建立與備份網域控制器 (BDC) 的安全通道，可提升權限。

9. Windows 圖形元件特權提升 (MS15-127, KB3069392)

因位圖轉換處理不當導致，經驗證攻擊者可提升權限並完全控制系統。

10. Windows 核心模式驅動程式特權提升 (MS15-126, KB3070102)

攻擊者登入系統並執行特製應用程式即可提升權限。

11. Windows Installer 服務特權提升 (MS15-125, KB3072630)

自訂動作腳本執行錯誤導致，攻擊者需先破壞當前登入用戶。

12. OLE 特權提升 (MS15-124, KB3072633)

需結合其他允許任意程式碼執行的漏洞，利用後可使程式碼在中等完整性層級執行。

13. Windows 遠端程序呼叫 (RPC) 特權提升 (MS15-123, KB3067505)

RPC 驗證機制缺陷，攻擊者登入並執行特製應用程式可完全控制系統。

14. ATM 字型驅動程式特權提升 (MS15-122, KB3077657)

攻擊者登入系統並執行特製應用程式即可提升權限並完全控制系統。

建議：請儘快透過 Windows Update 安裝所有更新，確保系統安全。