MS16-087: Sikkerhedsopdatering til Windows-spoolerkomponenter: 12. juli 2016

Gælder for

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Meddelelse

Denne sikkerhedsopdatering blev genudgivet d. 12. september 2017 for at løse kendte problemer i opdatering 3170455 til CVE-2016-3238.

Microsoft har gjort følgende opdateringer tilgængelige til de versioner af Microsoft Windows, der understøttes i øjeblikket. Du kan finde flere oplysninger i følgende artikel i Microsoft Knowledge Base:

Genudgivet opdatering 3170455 til Windows Server 2008
Månedlig opdateringspakke 4038777 og sikkerhedsopdatering 4038779 til Windows 7 og Windows Server 2008 R2
Månedlig opdateringspakke 4038786 4038799 og sikkerhedsopdateringer for Windows Server 2012
Månedlig opdateringspakke 4038793 4038792 og sikkerhedsopdateringer til Windows 8.1 og Windows Server 2012 R2
Kumulativ opdatering 4038781 til Windows 10
Samlet opdatering 4038781 til Windows 10 version 1511
Samlet opdatering 4038782 til Windows 10 version 1607 og Windows Server 2016

Microsoft anbefaler, at kunder, der kører Windows Server 2008-geninstallationsopdatering, 3170455. Microsoft anbefaler, at kunder, der kører andre understøttede versioner af Windows, installerer den relevante opdatering. Du kan finde flere oplysninger i Microsoft Knowledge Base-artiklen 3170455.

Andre ændringer, der er inkluderet i MS16-087-genudgivelsen

Tilføjet hændelseslogføring for at hjælpe med at fastslå årsagen til fejl i installationen af printerdriver

Tidligere var den eneste måde, hvorpå en kunde kunne vide, hvorfor en driver ikke klarede de nye begrænsningskontroller, som blev implementeret som en del af MS16-087, at indsamle udskrifts-etw-logfiler og derefter sende dem til Microsoft til analyse.

Vi har tilføjet funktionalitet til at logføre årsagen til fejl i hændelsesloggeren, så kunderne selv kan undersøge rodårsagen til driverfejl.

Oplysninger, der logføres:

1. Hvis en driver ikke er pakkeorienteret eller ikke er korrekt signeret, logges følgende meddelelse:

MSG_CSRSPL_UNTRUSTED_DRIVER: "Printspooleren kunne ikke downloade pakken til driver <driverName>. Error code= <errorCodeFromListBelow>. Blokering af fører, da der kan være mulighed for potentiel manipulation."

2. Hvis en driver ikke kan valideres en signatur ved hjælp af det angivne katalog, logføres følgende meddelelse:

VALIDATEDRVINFO_FAILED: "I VALIDERINGDRVINFO mislykkedes tilføjelse af printerdriver <drivernavn> , fejlkode <errorCodeFromListBelow>.

Mulige fejlkoder:

Kode	Betydning
0x800F0243L	Udgiveren er ikke pålidelig
0x800F024BL	Hash ikke i katalog
0x800F022FL	Intet katalog til OEM INF
0x800F023FL	Intet authenticode-katalog
0x800F0240L	Authenticode er ikke tilladt
0x800F0249L	Generisk "Driverinstallation blokeret"

Resumé

Denne sikkerhedsopdatering løser sårbarheder i Microsoft Windows. De mere alvorlige af sikkerhedsrisiciene kan muliggøre fjernudførelse af programkode, hvis en hacker er i stand til at udføre et man-in-the-middle-angreb (MiTM) på en arbejdsstation eller printserver eller konfigurere en uautoriseret printerserver på et destinationsnetværk.

Du kan finde flere oplysninger om sikkerhedsrisikoen i Microsoft-sikkerhedsbulletin MS16-087.

Flere oplysninger

Vigtig

Når du har installeret denne sikkerhedsopdatering, og du kan installere pege- og udskrivningsdrivere fra printerservere til klienter, skal du anvende følgende opdateringspakke til Windows Update på printerserveren Windows 8.1 eller Windows Server 2012 R2:
3000850 opdateringspakke fra november 2014 til Windows RT 8.1, Windows 8.1 og Windows Server 2012 R2
Alle fremtidige sikkerheds- og ikke-sikkerhedsrelaterede opdateringer til Windows RT 8.1, Windows 8.1 og Windows Server 2012 R2 kræver, at opdateringen 2919355 er installeret. Vi anbefaler, at du installerer opdatering 2919355 på din Windows RT 8.1-baserede, Windows 8.1-baserede eller Windows Server 2012 R2-baserede computer, så du modtager fremtidige opdateringer.
Hvis du installerer en sprogpakke, når du har installeret denne opdatering, skal du geninstallere denne opdatering. Vi anbefaler derfor, at du installerer de sprogpakker, du har brug for, før du installerer denne opdatering. Du kan få mere at vide under Føj sprogpakker til Windows.

Yderligere oplysninger om denne sikkerhedsopdatering

Følgende artikler indeholder yderligere oplysninger om denne sikkerhedsopdatering, da den vedrører individuelle produktversioner. Artiklerne kan indeholde oplysninger om kendte problemer.

3170455 MS16-087: Beskrivelse af sikkerhedsopdateringen til Windows-spoolerkomponenter: 12. juli 2016
3163912 Samlet opdatering til Windows 10: 12. juli 2016
3172985 Samlet opdatering til Windows 10 version 1511 og Windows Server 2016 Technical Preview 4: 12. juli 2016

Kendte problemer

Hvis du bruger netværksudskrivning i dit miljø, kan du opleve et af følgende problemer:

Der vises muligvis en advarsel om installation af en printerdriver, eller driveren kan muligvis ikke installeres uden varsel, når du har installeret MS16-087. Symptomerne her afhænger af det specifikke scenarie.
Scenarie 1 For ikke-pakkeafhængige v3-printerdrivere kan følgende advarselsmeddelelse blive vist, når brugere forsøger at oprette forbindelse til peg-og-udskriv-printere:

Scenarie 2: Pakkeafhængige drivere skal signeres med et certifikat, der er tillid til. Bekræftelsesprocessen kontrollerer, om alle de filer, der er inkluderet i driveren, er hashed i kataloget. Hvis denne bekræftelse mislykkes, anses driveren for utroværdig. I dette tilfælde blokeres driverinstallationen, og følgende advarselsmeddelelse vises:

Scenarie 3 I ikke-interaktive scenarier (f.eks. hvor printeren installeres via et automatiseret script) mislykkes printerinstallationen, når printerdriveren opfylder kriterierne, der er beskrevet i scenarie 1 eller scenarie 2, og der vises ingen advarselsmeddelelse.

I disse situationer skal du kontakte din netværksadministrator for at få en opdateret driver fra printerproducenten.

Vejledning til netværksadministratorer:
- Opdater den berørte printerdriver. Pakkeafhængige V3-printerdrivere blev introduceret i Windows Vista. Du kan løse problemet ved at installere en pakkeafhængig printerdriver.
- Hvis en bestemt ældre printer ikke har den relevante printerdriver tilgængelig, kan du løse problemet ved at forudinstallere den problematiske printerdriver på klientsystemet.
Du kan finde flere oplysninger om disse scenarier i følgende Microsoft-ressourcer:
- Arkitekturen for udskrivnings- og dokumenttjenester
- Pakkeafhængige printerdrivere
Når du har installeret sikkerhedsopdatering MS16-087 (KB 3170455) og forsøgt at oprette forbindelse til en pakkeafhængig printer, der er tillid til, og som er installeret på et system, der kører Windows 8.1 eller Windows Server 2012 R2, kan du ikke oprette forbindelse til printeren.

Du kan løse dette problem ved at anvende følgende opdateringspakke til Windows Update på printerserveren Windows 8.1 eller Windows Server 2012 R2:
3000850 opdateringspakke fra november 2014 til Windows RT 8.1, Windows 8.1 og Windows Server 2012 R2

Oktober 2016-opdatering: Afhjælpning af kendte problemer

Microsoft har udgivet en opdatering til oktober 2016, der giver netværksadministratorer mulighed for at konfigurere politikker, der tillader installation af printerdrivere, som de anser for sikre. Denne opdatering giver også netværksadministratorer mulighed for at installere printerforbindelser, som de anser for sikre.

Opdateringerne er indeholdt i følgende opdateringspakker.

Windows 10 RTM	KB 3192440
Windows 10 1511	KB 3192441
Windows 10 1607	KB 3194798
Windows 7 og Windows Server 2008 R2	KB 3192403
Windows Server 2012	KB 3192406
Windows 8.1 og Windows Server 2012 R2	KB 3192404

Konfiguration af Gruppepolitik til tilføjelse af printerservere til listen over tilladte

Klik på Start, og klik derefter på Kør.
Skriv gpedit.msc, og klik derefter på OK.
Udvid Computerkonfiguration, og udvid derefter Administrative skabeloner.
Klik på Printere.
Dobbeltklik på Pege- og udskrivningsbegrænsninger, og vælg derefter indstillingen Aktiveret.
Markér afkrydsningsfeltet Brugere kan kun pege og udskrive til disse servere under Indstillinger, og skriv derefter de fulde servernavne i tekstfeltet, adskilt af semikolon.
Under Security Prompter, angiv dem som følger:
1. "Når du installerer drivere til en ny forbindelse": "Vis advarsels- og elevationsprompt".
2. "Når du opdaterer drivere til en eksisterende forbindelse": "Vis advarsels- og elevationsprompt".
Klik på Anvend og derefter på OK.
På siden Printerpolitik skal du dobbeltklikke på Pak peg og udskriv – godkendte servere.
Vælg indstillingen Aktiveret.
Klik på Vis under Indstillinger.
Skriv et fuldt servernavn i hver række.
Klik på OK.
Klik på Anvend, og klik derefter på OK.
Hvis du bruger en enkeltstående klient, skal du genstarte klienten og derefter bekræfte, at disse politikker er gældende.
Hvis du bruger domænepolitikker, skal du overføre politikkerne til domæneklienterne og derefter bekræfte, at disse politikker er gældende.

Bemærk! Når du har aktiveret disse gruppepolitikker, skal du føje alle printerservere til både listen over pege- og udskrivningsbegrænsninger og listen over Pak peg og udskriv – godkendt server. Dette gælder, uanset om pakken er kendt.

Oktober 2016 Opdatering Ofte stillede spørgsmål

Sp: Skal vi fjerne den forrige opdatering?
Sv: Nej. Den tidligere opdatering løser sårbarheden. Opdateringen for oktober 2016 giver mulighed for at give netværksadministratorer mulighed for at installere drivere, som de anser for at være sikre.
Sp: Selv når opdateringen fra oktober 2016 er installeret, og gruppepolitikkerne er konfigureret, vises meddelelsen "Har du tillid til denne printer" stadig, når jeg forsøger at installere en lokal printer. Hvorfor det?
Sv: Denne afhjælpning er rettet mod netværksprintere og ikke lokale printere, så denne funktionsmåde forventes.

Bemærk! Hvis du får vist meddelelsen "Har du tillid til denne printer", skal du enten udskifte den nuværende driver ved hjælp af en pålidelig pakketilpasset driver eller installere driverfilerne i det lokale driverlager, før du installerer den lokale printer. Du kan finde flere oplysninger i afsnittet Vejledning til netværksadministratorer .

Sådan henter og installerer du opdateringen

Metode 1: Windows Update

Denne opdatering er tilgængelig via Windows Update. Når du slår automatisk opdatering til, downloades og installeres denne opdatering automatisk. Du kan få flere oplysninger om, hvordan du slår automatiske opdateringer til, under Få sikkerhedsopdateringer automatisk.

Bemærk! Denne opdatering er kun tilgængelig til Windows RT 8.1 via Windows Update.

Metode 2: Microsoft Download Center

Du kan få den separate opdateringspakke via Microsoft Download Center. Følg installationsvejledningen på downloadsiden for at installere opdateringen.

Klik på downloadlinket i Microsoft-sikkerhedsbulletin MS16-087 , der svarer til den version af Windows, du kører.

Flere oplysninger

Oplysninger om installation af sikkerhedsopdateringer

Windows Vista (alle udgaver) Referencetabel