Microsoft sikkerhetsoppdateringer for desember 2016

Publisert: 14.12.2016 | Sist endret: 11.01.2017

Det er totalt 12 bulletiner, hvor 6 er vurdert som kritiske.

Hverken NorCERT eller Microsoft kjenner til aktiv utnyttelse av sårbarhetene i dette varslet, men NorCERT anbefaler alle å oppdatere sine systemer så fort
som mulig.

De kritiske bulletinene er listet opp under.

  • MS16-144 Cumulative Security Update for Internet Explorer (3204059)
  • MS16-145 Cumulative Security Update for Microsoft Edge (3204062)
  • MS16-146 Security Update for Microsoft Graphics Component (3204066)
  • MS16-147 Security Update for Microsoft Uniscribe (3204063)
  • MS16-148 Security Update for Microsoft Office (3204068)
  • MS16-154 Security Update for Adobe Flash Player (3209498)

Sikkerhetsoppdateringer for Internet Explorer - MS16-144 

Denne sikkerhetsoppdateringen tar for seg en sårbarhet i Internet Explorer. Den mest kritiske av sårbarhetene kan tillate kjøring av ekstern kode, dersom en en bruker besøker en spesielt utformet webside med Internet Explorer. Angriperen kan, hvis angrepet lykkes, få samme brukerrettigheter som den påloggede brukeren. Om den påloggede brukeren har administrative brukerrettigheter, kan angriperen ta kontroll over det utsatte systemet. En angriper kan da opprette nye brukere med samme brukerrettigheter, slette, installere, endre og vise data.


CVE-2016-7202 Scripting Engine Memory Corruption Vulnerability -(EI:1,1)
CVE-2016-7278 Windows Hyperlink Object Library Information Disclosure Vulnerability -(EI:2,2)
CVE-2016-7279 Microsoft Browser Memory Corruption Vulnerability -(EI:1,1)
CVE-2016-7281 Microsoft Browser Security Feature Bypass -(EI:3,3)
CVE-2016-7282 Microsoft Browser Information Disclosure Vulnerability -(EI:3,3)
CVE-2016-7283 Internet Explorer Memory Corruption Vulnerability -(EI:1,1)
CVE-2016-7284 Internet Explorer Information Disclosure Vulnerability -(EI:2,2)
CVE-2016-7287 Scripting Engine Memory Corruption Vulnerability -(EI:1,4)

For ytterligere informasjon og berørt programvare se følgende link:

Sikkerhetsoppdateringer for Microsoft Edge - MS16-145

Denne sikkerhetsoppdateringen tar for seg en sårbarhet i Microsoft Edge. De mest kritiske sårbarhetene kan tillate kjøring av ekstern kode, dersom en en bruker besøker en spesielt utformet webside med Microsoft Edge. Angriperen kan, hvis angrepet lykkes, få samme brukerrettigheter som den påloggede brukeren. Dette er spesielt kritisk for brukere som har administratorrettigheter på systemet.

CVE-2016-7181 Microsoft Edge Memory Corruption Vulnerability -(EI:3,4)
CVE-2016-7206 Microsoft Edge Information Disclosure Vulnerability -(EI:3,4)
CVE-2016-7279 Microsoft Browser Memory Corruption Vulnerability -(EI:1,4)
CVE-2016-7280 Microsoft Edge Information Disclosure Vulnerability -(EI:3,4)
CVE-2016-7281 Microsoft Browser Security Feature Bypass -(EI:3,4)
CVE-2016-7282 Microsoft Browser Information Disclosure Vulnerability -(EI:3,4)
CVE-2016-7286 Scripting Engine Memory Corruption Vulnerability -(EI:1,4)
CVE-2016-7287 Scripting Engine Memory Corruption Vulnerability -(EI:1,4)
CVE-2016-7288 Scripting Engine Memory Corruption Vulnerability -(EI:1,4)
CVE-2016-7296 Scripting Engine Memory Corruption Vulnerability -(EI:1,4)
CVE-2016-7297 Scripting Engine Memory Corruption Vulnerability -(EI:1,4)

For ytterligere informasjon og berørt programvare se følgende link:

Sikkerhetsoppdateringer for Microsoft Graphics Component - MS16-146

Denne sikkerhetsoppdateringen tar for seg en sårbarhet i Microsoft Windows. Den mest kritiske sårbarheten kan tillate kjøring av ekstern kode, dersom en en bruker besøker en spesielt utformet webside eller åpner et spesielt utformet dokument. Dette er spesielt kritisk for brukere med administrative rettigheter.

CVE-2016-7257 GDI Information Disclosure Vulnerability -(EI:4,2)
CVE-2016-7272 Windows Graphics Remote Code Execution Vulnerability -(EI:1,1)
CVE-2016-7273 Windows Graphics Remote Code Execution Vulnerability -(EI:1,1)

For ytterligere informasjon og berørt programvare se følgende link:

Sikkerhetsoppdatering for Microsoft Uniscribe - MS16-147

Denne sikkerhetsoppdateringen tar for seg en sårbarhet i Windows Uniscribe. Den mest kritiske sårbarheten kan tillate kjøring av ekstern kode, dersom en en bruker besøker en spesielt utformet webside eller åpner et spesielt utformet dokument. Dette er spesielt kritisk for brukere med administrative rettigheter.

CVE-2016-7274 Windows Uniscribe Remote Code Execution Vulnerability -(EI:1,1)

For ytterligere informasjon og berørt programvare se følgende link:

Sikkerhetsoppdateringer for Microsoft Office - MS16-148

Denne sikkerhetsoppdateringen tar for seg en sårbarhet i Microsoft Office. Den mest kritiske sårbarheten kan tillate kjøring av ekstern kode, dersom en en bruker åpner et spesielt utformet Microsoft Office fil. Angriperen kan ved vellykket utnyttelse kjøre vilkårlig kode med samme brukerrettigheter som utnyttet bruker har. Hvis en har konfigurert kontoene til å ha færre brukerrettigheter på systemet, kan denne sårbarheten være mindre kritisk enn for brukere med administrative rettigheter. 


CVE-2016-7257 GDI Information Disclosure Vulnerability -(EI:2,2)
CVE-2016-7262 Microsoft Office Security Feature Bypass Vulnerability -(EI:1,1)
CVE-2016-7263 Microsoft Office Memory Corruption Vulnerability -(EI:3,3)
CVE-2016-7264 Microsoft Office Information Disclosure Vulnerability -(EI:2,2)
CVE-2016-7265 Microsoft Office Information Disclosure Vulnerability -(EI:2,2)
CVE-2016-7266 Microsoft Office Security Feature Bypass Vulnerability -(EI:1,1)
CVE-2016-7267 Microsoft Office Security Feature Bypass Vulnerability -(EI:1,1)
CVE-2016-7268 Microsoft Office Information Disclosure Vulnerability -(EI:4,2)
CVE-2016-7275 Microsoft Office OLE DLL Side Loading Vulnerability -(EI:1,1)
CVE-2016-7276 Microsoft Office Information Disclosure Vulnerability -(EI:2,2)
CVE-2016-7277 Microsoft Office Memory Corruption Vulnerability -(EI:2,4)
CVE-2016-7289 Microsoft Office Memory Corruption Vulnerability -(EI:4,1)
CVE-2016-7290 Microsoft Office Information Disclosure Vulnerability -(EI:4,3)
CVE-2016-7291 Microsoft Office Information Disclosure Vulnerability -(EI:4,3)
CVE-2016-7298 Microsoft Office Memory Corruption Vulnerability -(EI:2,2)
CVE-2016-7300 Microsoft Office Elevation of Privilege Vulnerability -(EI:3,3)

For ytterligere informasjon og berørt programvare se følgende link:

Sikkerhetsoppdatering for Adobe Flash Player - MS16-154

Se Adobe Security Bulletin APSB16-39 for Sårbarhetens alvorlighet.

Denne sikkerhetsoppdateringen tar for seg sårbarheter i Adobe Flash Player installert på alle supporterte versjoner av:

  • Windows 8.1
  • Windows Server 2012
  • Windows Server 2012 R2
  • Windows RT 8.1
  • Windows 10
  • Windows Server 2016.

For ytterligere informasjon og berørt programvare se følgende link:

Referanser:

  1. https://technet.microsoft.com/en-us/library/security/ms16-dec
  2. http://helpx.adobe.com/security/products/flash-player/apsb16-39.html

Om *Exploitability Index

For hver sårbarhet gir Microsoft en vurdering av sannsynligheten for at den skal kunne utnyttes. Dette kaller de «exploitability index». En «exploitability index» på 1 betyr at Microsoft anser det som lett
å skrive stabil utnyttelseskode for sårbarheten. 0 betyr at utnyttelse er observert, mens N betyr at sårbarheten ikke finnes i den/de versjonen(e) av programvaren. Det gis én verdi for den nyeste versjonen av det aktuelle produktet, og én verdi for de andre støttede versjonene. Vi markerer sårbarhetene under med (EI: x,y) hvor x er siste versjon, og y er resterende.