MS16-087: Aktualizace zabezpečení pro součásti služby zařazování tisku v systému Windows: 12. července 2016

Platí pro

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Oznámení

Tato aktualizace zabezpečení byla znovu vydána 12. září 2017 za účelem řešení známých problémů v aktualizaci 3170455 pro chybu zabezpečení CVE-2016-3238.

Společnost Microsoft zpřístupnila následující aktualizace pro aktuálně podporované verze systému Microsoft Windows. Další informace naleznete v následujícím článku znalostní báze znalostní báze Microsoft Knowledge Base:

Znovu vydaná aktualizace 3170455 pro Windows Server 2008
Měsíční kumulativní 4038777 a aktualizace zabezpečení 4038779 pro Windows 7 a Windows Server 2008 R2
Měsíční kumulativní 4038799 a aktualizace zabezpečení 4038786 pro Windows Server 2012
Měsíční kumulativní 4038792 a aktualizace zabezpečení 4038793 pro Windows 8.1 a Windows Server 2012 R2
Kumulativní aktualizace 4038781 pro Windows 10
Kumulativní aktualizace 4038781 pro Windows 10 verzi 1511
Kumulativní aktualizace 4038782 pro Windows 10 verze 1607 a Windows Server 2016

Společnost Microsoft doporučuje zákazníkům, kteří používají Windows Server 2008, aby znovu nainstalovali aktualizaci 3170455. Společnost Microsoft doporučuje, aby si zákazníci, kteří používají jiné podporované verze Windows, nainstalovali příslušnou aktualizaci. Další informace naleznete v článku znalostní báze znalostní báze Microsoft Knowledge Base 3170455.

Další změny, které jsou zahrnuty v opětovném vydání MS16-087

Přidání protokolování událostí, které pomáhá určit příčinu chyb při instalaci ovladače tiskárny

Dříve bylo jediným způsobem, jak mohl zákazník zjistit, proč ovladač neprošel novými kontrolami omezení, které byly implementovány v rámci aktualizace MS16-087, shromáždit protokoly ETW a poté je odeslat společnosti Microsoft k analýze.

Přidali jsme funkci pro protokolování příčin selhání do protokolování událostí, aby zákazníci mohli sami zjistit hlavní příčinu selhání ovladačů.

Informace, které se budou protokolovat:

1. Pokud ovladač neodpovídá balíčku nebo není řádně podepsán, zaznamená se následující zpráva:

MSG_CSRSPL_UNTRUSTED_DRIVER: Službě zařazování tisku se nepodařilo stáhnout balíček ovladače <driverName>. Error code= <errorCodeFromListBelow>. Blokování ovladače, protože by mohla existovat možnost potenciální manipulace."

2. Pokud se ovladači nezdaří ověření podpisu pomocí poskytnutého katalogu, zaprotokoluje se následující zpráva:

VALIDATEDRVINFO_FAILED: "V VALIDATINGDRVINFO se nezdařilo přidání názvu> ovladače < tiskárny, kód < chyby errorCodeFromListBelow>.

Možné kódy chyb:

Kód	Význam
0x800F0243L	Vydavatel není důvěryhodný.
0x800F024BL	Hodnota hash není v katalogu
0x800F022FL	Žádný katalog pro OEM INF
0x800F023FL	Žádný katalog authenticode
0x800F0240L	Technologie Authenticode není povolená.
0x800F0249L	Obecná zpráva "Instalace ovladače je blokována"

Shrnutí

Tato aktualizace zabezpečení řeší chyby zabezpečení v Microsoft Windows. Závažnější z chyb zabezpečení by mohla umožnit vzdálené spuštění kódu, pokud je útočník schopen provést útok typu man-in-the-middle (MiTM) na pracovní stanici nebo tiskový server nebo nastavit podvodný tiskový server v cílové síti.

Další informace o této chybě zabezpečení naleznete v bulletinu zabezpečení společnosti Microsoft MS16-087.

Další informace

Důležité

Abyste po instalaci této aktualizace zabezpečení mohli nasadit ovladače funkce Ukázat a tisknout z tiskových serverů do klientů, musíte na tiskovém serveru se systémem Windows 8.1 nebo Windows Server 2012 R2 použít následující kumulativní aktualizaci systému Windows:
3000850 listopadu 2014 – kumulativní aktualizace pro Windows RT 8.1, Windows 8.1 a Windows Server 2012 R2
Všechny budoucí aktualizace zabezpečení a aktualizace nesouvisející se zabezpečením pro Windows RT 8.1, Windows 8.1 a Windows Server 2012 R2 vyžadují instalaci 2919355 aktualizací. Doporučujeme nainstalovat aktualizaci 2919355 do počítače s procesorem Windows RT 8.1, Windows 8.1 nebo Windows Server 2012 R2, abyste měli k dispozici budoucí aktualizace.
Pokud po instalaci této aktualizace nainstalujete jazykovou sadu, musíte tuto aktualizaci přeinstalovat. Proto před instalací této aktualizace doporučujeme nainstalovat všechny jazykové sady, které potřebujete. Další informace najdete v tématu Přidání jazykových sad do Windows.

Další informace o této aktualizaci zabezpečení

Následující články obsahují další informace o této aktualizaci zabezpečení, které se týkají jednotlivých verzí produktu. Tyto články mohou obsahovat informace o známých problémech.

3170455 MS16-087: Popis aktualizace zabezpečení pro součásti služby zařazování tisku Windows: 12. července 2016
3163912 kumulativní aktualizace pro Windows 10: 12. července 2016
3172985 kumulativní aktualizace pro Windows 10 verze 1511 a Windows Server 2016 Technical Preview 4: 12. července 2016

Známé problémy

Pokud ve svém prostředí používáte síťový tisk, můžete se setkat s některým z následujících problémů:

Po instalaci aktualizace MS16-087 se může zobrazit upozornění na instalaci ovladače tiskárny nebo se instalace ovladače nepodaří bez upozornění. Příznaky, které zde řešíme, závisí na konkrétním scénáři.
Scénář 1: U ovladačů tiskáren verze 3, které nepodporují balíčky, se může při pokusu o připojení k tiskárnám typu Ukázat a tisknout zobrazit následující upozornění:

Scénář 2: Ovladače podporující balíčky musí být podepsané důvěryhodným certifikátem. Proces ověření zkontroluje, jestli jsou všechny soubory, které jsou součástí ovladače, v katalogu hashované. Pokud se toto ověření nezdaří, ovladač je považován za nedůvěryhodný. V takovém případě je instalace ovladače blokována a zobrazí se následující varovná zpráva:

Scénář 3: V případě neinteraktivních scénářů (například instalace tiskárny pomocí automatického skriptu) platí, že pokud ovladač tiskárny splňuje kritéria popsaná ve scénáři 1 nebo scénáři 2, instalace tiskárny se nezdaří a nezobrazí se žádná zpráva upozornění.

V takových situacích se obraťte na správce sítě a požádejte ho o aktualizovaný ovladač od výrobce tiskárny.

Pokyny pro správce sítě:
- Aktualizujte dotčený ovladač tiskárny. Ovladače tiskáren V3 s podporou balíčků byly zavedeny v systému Windows Vista. Tento problém vyřešíte instalací ovladače tiskárny, který podporuje balíčky.
- Pokud konkrétní starší tiskárna nemá k dispozici odpovídající ovladač tiskárny, problém vyřeší předinstalace problematického ovladače tiskárny v klientském systému.
Další informace o těchto scénářích najdete v následujících zdrojích informací Microsoftu:
- Architektura tiskových a dokumentových služeb
- Ovladače tisku s podporou balíčků
Po instalaci aktualizace zabezpečení MS16-087 (KB 3170455) a pokusu o připojení k důvěryhodné tiskárně podporující balíčky, která je nainstalována v systému se systémem Windows 8.1 nebo Windows Server 2012 R2, se nemůžete připojit k tiskárně.

Pokud chcete tento problém vyřešit, použijte na tiskovém serveru pro systém Windows 8.1 nebo Windows Server 2012 R2 následující kumulativní aktualizaci systému Windows:
3000850 listopadu 2014 – kumulativní aktualizace pro Windows RT 8.1, Windows 8.1 a Windows Server 2012 R2

Aktualizace z října 2016: Zmírnění známých problémů

Společnost Microsoft vydala v říjnu 2016 aktualizaci, která správcům sítě umožňuje konfigurovat zásady, které povolují instalaci ovladačů tiskárny, které považují za bezpečné. Tato aktualizace také umožňuje správcům sítě nasadit připojení tiskárny, která považují za bezpečná.

Aktualizace jsou obsaženy v následujících kumulativních balíčcích.

Windows 10 RTM	KB 3192440
Windows 10 1511	KB 3192441
Windows 10 1607	KB 3194798
Windows 7 a Windows Server 2008 R2	KB 3192403
Windows Server 2012	KB 3192406
Windows 8.1 a Windows Server 2012 R2	KB 3192404

Konfigurace Zásady skupiny pro přidání tiskových serverů do seznamu povolených

Klikněte na Start a potom na Spustit.
Zadejte příkaz gpedit.msc a klepněte na tlačítko OK.
Rozbalte položku Konfigurace počítače a potom rozbalte položku Šablony pro správu.
Klikněte na Tiskárny.
Poklikejte na Omezení funkce Ukázat a vytisknout a pak vyberte možnost Povoleno.
Ve skupinovém rámečku Možnosti zaškrtněte políčko Uživatelé mohou pouze ukazovat a tisknout na tyto servery a do textového pole zadejte plně kvalifikované názvy serverů oddělené středníky.
V části Výzvy zabezpečení je nastavte takto:
1. "Při instalaci ovladačů pro nové připojení": "Zobrazit upozornění a výzvu ke zvýšení oprávnění".
2. "Při aktualizaci ovladačů pro existující připojení": "Zobrazit upozornění a výzvu ke zvýšení oprávnění".
Klikněte na Použít a potom na OK.
Na stránce zásad tiskáren poklikejte na Package Point and Print – Approved servers (Uložit a vytisknout – Schválené servery).
Vyberte možnost Povoleno.
V části Možnosti klikněte na Zobrazit.
Do každého řádku zadejte jeden plně kvalifikovaný název serveru.
Klikněte na OK.
Klikněte na tlačítko Použít a potom na tlačítko OK.
Používáte-li samostatného klienta, restartujte jej a ověřte, zda jsou tyto zásady účinné.
Pokud používáte zásady domény, odešlete je klientům domény a ověřte, zda jsou tyto zásady účinné.

Poznámka: Po povolení těchto zásad skupiny je nutné přidat všechny tiskové servery do seznamu Omezení funkce Ukázat a tisknout a také do seznamu Odeslat a vytisknout balíček – schválený server. To platí bez ohledu na povědomí o balíčku.

Časté otázky k aktualizaci z října 2016

Otázka: Měli bychom předchozí aktualizaci odinstalovat?
Odpověď: Ne. Předchozí aktualizace tuto chybu zabezpečení opravuje. Aktualizace z října 2016 poskytuje zmírnění rizik, aby správci sítě mohli instalovat ovladače, které považují za bezpečné.
Otázka: I po instalaci aktualizace z října 2016 a nastavení zásad skupiny se zpráva Důvěřujete této tiskárně stále zobrazuje při pokusu o instalaci místní tiskárny. Proč tomu tak je?
Odpověď: Toto omezení rizik cílí na síťové tiskárny, ne na místní tiskárny, takže se s tímto chováním počítá.

Poznámka: Pokud se zobrazí zpráva "Důvěřujete této tiskárně", nahraďte aktuální ovladač pomocí důvěryhodného ovladače podporujícího balíčky nebo nainstalujte soubory ovladače do místního úložiště ovladačů před instalací místní tiskárny. Další informace najdete v části Pokyny pro správce sítě .

Jak získat a nainstalovat aktualizaci

Metoda 1: Prostřednictvím služby služba Windows Update

Tato aktualizace je k dispozici prostřednictvím služby služba Windows Update. Když zapnete automatické aktualizace, tato aktualizace se stáhne a nainstaluje automaticky. Další informace o zapnutí automatických aktualizací najdete v tématu Automatické získávání aktualizací zabezpečení.

Poznámka: Pro systém Windows RT 8.1 je tato aktualizace k dispozici pouze prostřednictvím služby služba Windows Update.

Metoda 2: Microsoft Download Center

Samostatný balíček aktualizace můžete získat prostřednictvím služby Stažení softwaru. Nainstalujte aktualizaci podle pokynů k instalaci na stránce pro stahování.

Klikněte na odkaz ke stažení v bulletinu zabezpečení společnosti Microsoft MS16-087 , který odpovídá verzi systému Windows, kterou používáte.

Další informace

Informace o nasazení aktualizací zabezpečení

Windows Vista (všechny edice) Referenční tabulka