MS16-087: Актуализация на защитата за компонентите на спулера за печат на Windows: 12 юли 2016 г.

Отнася се за

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Забележка

Тази актуализация на защитата е издадена повторно на 12 септември 2017 г., за да се обърнат внимание на известни проблеми в актуализация 3170455 за CVE-2016-3238.

Microsoft направи налични следните актуализации за поддържаните в момента версии на Microsoft Windows. За повече информация отидете на следната статия в базата знания на Microsoft:

Повторно издаден 3170455 за актуализация на Windows Server 2008 г.
Месечен сборен пакет за актуализация 4038777 и актуализация на защитата 4038779 за Windows 7 и Windows Server 2008 R2
Месечен сборен пакет 4038799 и актуализация на защитата 4038786 за Windows Server 2012
Месечен сборен пакет за актуализация 4038792 и 4038793 за актуализация на защитата за Windows 8.1 и Windows Server 2012 R2
Кумулативна актуализация 4038781 за Windows 10
Кумулативна актуализация 4038781 за Windows 10 версия 1511
Кумулативна актуализация 4038782 за Windows 10 версия 1607 и Windows Server 2016

Microsoft препоръчва клиентите, които работят с актуализацията Windows Server 2008, да преинсталират 3170455. Microsoft препоръчва на клиентите, които работят с други поддържани версии на Windows, да инсталират съответната актуализация. За повече информация отидете на 3170455 статия в базата знания на Microsoft.

Други промени, които са включени в повторното издание на MS16-087

Добавено регистриране на събития за определяне на причината за грешките при инсталиране на драйвер за принтер

По-рано единственият начин клиентът да разбере защо драйверът не е преминал новите проверки за ограничение, които се реализираха като част от MS16-087, беше да събере отпечатани регистрационни файлове за ETW, след което да ги изпрати на Microsoft за анализ.

Добавихме функционалност за регистриране на причината за грешките в регистъра на събития, така че клиентите да могат сами да изследват основната причина за неизправностите на драйвера.

Информация, която ще бъде регистрирана:

1. Ако даден драйвер не е свързан с пакета или не е подписан правилно, се регистрира следното съобщение:

MSG_CSRSPL_UNTRUSTED_DRIVER: "Спулерът за печат не успя да изтегли пакет за driver <driverName>. Error code= <errorCodeFromListBelow>. Блокиране на шофьора, тъй като може да има възможност за потенциално подправяне."

2. Ако драйвер не успее да провери подпис с помощта на предоставения каталог, се регистрира следното съобщение:

VALIDATEDRVINFO_FAILED: "Във VALIDATINGDRVINFO Добавянето на драйвер <driverName> е неуспешно, код <на грешка errorCodeFromListBelow>.

Възможни кодове на грешки:

Код	Значение
0x800F0243L	Publisher не е надежден
0x800F024BL	Хеширането не е в каталога
0x800F022FL	Няма каталог за OEM INF
0x800F023FL	Няма authenticode каталог
0x800F0240L	Authenticode е забранено
0x800F0249L	Generic "Инсталирането на драйвера е блокирано"

Резюме

Тази актуализация на защитата коригира уязвимости в Microsoft Windows. По-сериозната уязвимост може да позволи отдалечено изпълнение на код, ако атакуващият е в състояние да изпълни атака MiTM на работна станция или сървър за печат или да настрои фалшив сървър за печат в целевата мрежа.

За да научите повече за уязвимостта, вж. бюлетина на Microsoft за сигурността MS16-087.

Повече информация

Важно

След като инсталирате тази актуализация на защитата, за да разположите драйвери за Point and Print от сървъри за печат на клиенти, трябва да приложите следния сборен пакет за актуализация на Windows на сървър за принтери на Windows 8.1 или Windows Server 2012 R2:
Сборен пакет за актуализация на 3000850 ноември 2014 г. за Windows RT 8.1, Windows 8.1 и Windows Server 2012 R2
Всички бъдещи актуализации на защитата и други актуализации за Windows RT 8.1, Windows 8.1 и Windows Server 2012 R2 изискват инсталиране на 2919355 на актуализация. Препоръчваме да инсталирате 2919355 актуализация на вашия компютър, базиран на Windows RT 8.1, Windows 8.1 или Windows Server 2012 R2, за да получавате бъдещи актуализации.
Ако инсталирате езиков пакет след инсталирането на тази актуализация, трябва да преинсталирате тази актуализация. Затова ви препоръчваме да инсталирате всички езикови пакети, от които се нуждаете, преди да инсталирате тази актуализация. За повече информация вижте " Добавяне на езикови пакети към Windows".

Допълнителна информация за тази актуализация на защитата

Следните статии съдържат допълнителна информация за тази актуализация на защитата, тъй като тя е свързана с отделни версии на продукта. Статиите може да съдържат информация за известен проблем.

3170455 MS16-087: Описание на актуализацията на защитата за компонентите на спулера за печат на Windows: 12 юли 2016 г.
3163912 Сборна актуализация за Windows 10: 12 юли 2016 г.
3172985 Сборна актуализация за версия 1511 на Windows 10 и Windows Server 2016 Technical Preview 4: 12 юли 2016 г.

Известни проблеми

Ако използвате печат в мрежа във вашата среда, може да изпитате един от следните проблеми:

Може да бъдете подканени от предупреждение за инсталиране на драйвер за принтер или драйверът може да не успее да се инсталира без уведомяване, след като приложите MS16-087. Симптомите тук зависят от конкретния сценарий.
Сценарий 1 За драйвери за принтери v3, които не са съобразени с пакета, може да се покаже следното предупредително съобщение, когато потребителите се опитат да се свържат с принтери за насочване и печат:

Сценарий 2: Драйверите, свързани с пакета, трябва да бъдат подписани с надежден сертификат. Процесът на проверка проверява дали всички файлове, които са включени в драйвера, са хеширани в каталога. Ако тази проверка е неуспешна, драйверът се смята за ненадежден. В тази ситуация инсталирането на драйвера е блокирано и се показва следното предупредително съобщение:

Сценарий 3 За неинтерактивни сценарии (например принтерът се инсталира чрез автоматизиран скрипт), когато драйверът на принтера отговаря на критериите, описани в сценарий 1 или сценарий 2, инсталирането на принтера е неуспешно и не се показва предупредително съобщение.

В тези ситуации се свържете с мрежовия администратор, за да получите актуализиран драйвер от производителя на принтера.

Указания за мрежови администратори:
- Актуализирайте засегнатия драйвер на принтера. В Windows Vista бяха въведени драйвери за принтери V3 с различаване на пакети. Инсталирането на драйвер за принтер, поддържащ пакета, ще реши проблема.
- Ако конкретен наследен принтер не разполага с наличен подходящ драйвер за принтер, предварителното инсталиране на проблемния драйвер на принтера в клиентската система ще разреши проблема.
За повече информация относно тези сценарии вижте следните ресурси на Microsoft:
- Архитектура на услугите за печат и документи
- Драйвери за печат, съобразени с пакета
След като приложите актуализация на защитата MS16-087 (KB 3170455) и се опитате да се свържете с надежден принтер, използващ пакети, инсталиран на система, работеща с Windows 8.1 или Windows Server 2012 R2, не можете да се свържете с принтера.

За да разрешите този проблем, приложете следния сборен пакет за актуализация на Windows на сървър за принтери на Windows 8.1 или Windows Server 2012 R2:
Сборен пакет за актуализация на 3000850 ноември 2014 г. за Windows RT 8.1, Windows 8.1 и Windows Server 2012 R2

Актуализация от октомври 2016 г.: Смекчаване на известни проблеми

Microsoft пусна актуализация за октомври 2016 г., която позволява на мрежовите администратори да конфигурират правила, позволяващи инсталирането на драйвери за печат, които считат за безопасни. Тази актуализация също така позволява на мрежовите администратори да разполагат връзки за принтери, които считат за безопасни.

Актуализациите се съдържат в следните сборни пакети:

Windows 10 RTM	KB 3192440
Windows 10 1511	KB 3192441
Windows 10 1607	KB 3194798
Windows 7 и Windows Server 2008 R2	KB 3192403
Windows Server 2012	KB 3192406
Windows 8.1 и Windows Server 2012 R2	KB 3192404

Конфигуриране на групови правила за добавяне на сървъри за печат към списъка с разрешени

Щракнете върху Старт и след това върху Изпълнение.
Въведете gpedit.msc и след това щракнете върху OK.
Разгънете "Компютърна конфигурация" и след това разгънете "Административни шаблони".
Щракнете върху "Принтери".
Щракнете двукратно върху "Ограничения за посочване и печат", след което изберете опцията "Разрешено".
Под "Опции" отметнете квадратчето "Потребителите могат само да показват и отпечатват до тези сървъри" и след това въведете имената на сървърите в пълен вид в текстовото поле, разделени с точка и запетая.
Под Подкани за защита ги задайте както следва:
1. "При инсталиране на драйвери за нова връзка": "Показване на предупреждение и подкана за увеличаване".
2. "При актуализиране на драйвери за съществуваща връзка": "Показване на предупреждение и подкана за увеличаване".
Щракнете върху "Приложи" и след това върху OK.
На страницата с правила за принтери щракнете двукратно върху Package Point and Print – Approved servers.
Изберете опцията "Разрешено".
Под "Опции" щракнете върху "Покажи".
Въведете по едно пълно име на сървър във всеки ред.
Щракнете върху OK.
Щракнете върху "Приложи", след което щракнете върху OK.
Ако използвате самостоятелен клиент, рестартирайте клиента и след това проверете дали тези правила са в сила.
Ако използвате правила за домейни, насочете правилата към клиентите на домейна и след това проверете дали тези правила са в сила.

Забележка: След като разрешите тези групови правила, трябва да добавите всички сървъри за принтери както към списъка с ограничения за отбелязване и отпечатване, така и списъка Package Point and Print – Одобрени сървъри. Това е така независимо от информираността за пакета.

Често задавани въпроси за актуализацията от октомври 2016 г.

В: Трябва ли да деинсталираме предишната актуализация?
О: Не. Предишната актуализация коригира уязвимостта. Актуализацията от октомври 2016 г. предоставя смекчаване на последствията, за да даде на мрежовите администратори възможността да инсталират драйвери, които считат за безопасни.
В: Дори с инсталирана актуализация от октомври 2016 г. и конфигурирани групови правила, съобщението "Имате ли доверие на този принтер" все още се показва, когато се опитам да инсталирам локален принтер. Защо е така?
О: Това смекчаване е насочено към мрежовите принтери, а не към локалните принтери, така че подобно поведение е очаквано.

Забележка: Ако получите съобщението "Доверявате ли се на този принтер", заменете текущия драйвер с помощта на надежден драйвер, използващ пакета, или инсталирайте файловете на драйвера в локалното хранилище за драйвери, преди да инсталирате локалния принтер. За повече информация вж. раздела " Указания за мрежови администратори ".

Как да изтеглите и инсталирате актуализацията

Метод 1: Чрез Windows Update

Тази актуализация е налична чрез Windows Update. При включване на автоматичното актуализиране, тази актуализация ще се изтегли и инсталира автоматично. За повече информация как да включите автоматичното актуализиране, вижте "Автоматично получаване на актуализации на защитата".

Забележка За Windows RT 8.1 тази актуализация е налична само чрез актуализиране на Windows.

Метод 2: Център на Microsoft за изтегляния

Можете да получите самостоятелния пакет за актуализация от центъра на Microsoft за изтегляния. Следвайте инструкциите за инсталиране на страницата за изтегляне, за да инсталирате актуализацията.

Щракнете върху връзката за изтегляне в бюлетина на Microsoft за сигурността MS16-087 , който съответства на версията на Windows, която използвате.

Повече информация

Информация за внедряване на актуализацията за сигурност

Справочна таблица на Windows Vista (всички издания)