MS16-087: Biztonsági frissítés a Windows nyomtatásisor-kezelő összetevőihez: 2016. július 12.

Hatókör

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Közlemény

Ezt a biztonsági frissítést 2017. szeptember 12-én bocsátottuk ki újra a CVE-2016-3238 biztonsági frissítés 3170455. ismert problémáinak kijavítása érdekében.

A Microsoft a következő frissítéseket tette elérhetővé a Microsoft Windows jelenleg támogatott verzióihoz. További információt a Microsoft Tudásbázis következő cikkében talál:

Újból kiadott frissítés 3170455 a Windows Server 2008-hoz
Havi kumulatív 4038777 és biztonsági frissítés 4038779 a Windows 7-hez és a Windows Server 2008 R2-höz
Havi kumulatív 4038799 és biztonsági frissítés 4038786 Windows Server 2012-hoz
Havi kumulatív 4038792 és biztonsági frissítés 4038793 Windows 8.1 és Windows Server 2012 R2 verziókhoz
Összegző frissítés 4038781 Windows 10-hoz
Összegző frissítés 4038781 Windows 10 1511-es verziójához
Összegző frissítés 4038782 Windows 10 1607-es és Windows Server 2016 verziójához

A Microsoft azt javasolja a Windows Server 2008-as verzióját futtató ügyfeleinek, hogy telepítsék újra a frissítést 3170455. A Microsoft azt javasolja, hogy a Windows egyéb támogatott verzióit futtató ügyfelek telepítsék a megfelelő frissítést. További információt a Microsoft Tudásbázis 3170455. cikkében talál.

Az MS16-087 újbóli kiadásban szereplő egyéb változások

Eseménynaplózás hozzáadása a nyomtató-illesztőprogram telepítési hibáinak okának meghatározásához

Korábban az egyetlen módja annak, hogy a felhasználó megtudja, miért nem ment át az adott illesztőprogram az MS16-087 frissítés részeként bevezetett új korlátozási ellenőrzéseken, az volt, hogy összegyűjtötte a nyomtatási ETW-naplókat, és elküldte azokat a Microsoftnak elemzésre.

Bővítettünk olyan funkciót, amely naplózza a hibák okait az eseménynaplózóba, így ügyfeleink maguk vizsgálhatják ki az illesztőprogramok hibáinak kiváltó okát.

Naplózott információk:

1. Ha egy illesztőprogram nem csomagkompatibilis vagy nincs megfelelően aláírva, a rendszer a következő üzenetet naplózza:

MSG_CSRSPL_UNTRUSTED_DRIVER: "A nyomtatásisor-kezelő nem tudta letölteni a <driverName> illesztőprogram csomagját. Error code= <errorCodeFromListBelow>. Blokkolja a járművezetőt, mivel fennállhat az esetleges manipulálás lehetősége."

2. Ha egy illesztőprogram nem felel meg az aláírás katalógussal végzett ellenőrzésén, a rendszer a következő üzenetet naplózza:

VALIDATEDRVINFO_FAILED: "A VALIDATINGDRVINFO folyamatban a nyomtatóillesztő <illesztőprogramName> hozzáadása sikertelen, hibakód <errorCodeFromListBelow>.

Lehetséges hibakódok:

Kód	Jelentés
0x800F0243L	A közzétevő nem megbízható
0x800F024BL	A kivonat nem szerepel a katalógusban
0x800F022FL	Nincs OEM INF katalógus
0x800F023FL	No authenticode catalog
0x800F0240L	Authenticode nem engedélyezett
0x800F0249L	Általános "Driver install letiltva"

Összegzés

Ez a biztonsági frissítés megszünteti a Microsoft Windows biztonsági réseit. A súlyosabb biztonsági rés távoli kódfuttatást tehet lehetővé, ha a támadó közbeékelődéses (MiTM) támadást tud végrehajtani egy munkaállomás vagy nyomtatókiszolgáló ellen, vagy engedélyezetlen nyomtatókiszolgálót állít be a célhálózaton.

A biztonsági résről az MS16-087 jelű Microsoft biztonsági közleményben olvashat bővebben.

További információ

Fontos

A biztonsági frissítés telepítése után a gyorsnyomtató-illesztőprogramok nyomtatókiszolgálókra történő telepítéséhez a következő kumulatív Windows-frissítést kell alkalmaznia a Windows 8.1 vagy a Windows Server 2012 R2 nyomtatókiszolgálón:
3000850 Windows RT 8.1, Windows 8.1 és Windows Server 2012 R2 2014. novemberi kumulatív frissítése
A Windows RT 8.1, Windows 8.1 és Windows Server 2012 R2 minden jövőbeli biztonsági és nem biztonsági frissítéséhez frissítést 2919355 kell telepíteni. Azt javasoljuk, hogy telepítse a 2919355 frissítést Windows RT 8.1-, Windows 8.1- vagy Windows Server 2012 R2-alapú számítógépére, hogy a jövőben is hozzájusson a frissítésekhez.
Ha a frissítés telepítése után nyelvi csomagot telepít, újra kell telepítenie ezt a frissítést. Ezért javasoljuk, hogy a frissítés telepítése előtt telepítse a szükséges nyelvi csomagokat. További információt a Nyelvi csomagok hozzáadása a Windowshoz című témakörben talál.

További információk erről a biztonsági frissítésről

Az alábbi cikkek további információt tartalmaznak erről a biztonsági frissítésről, mivel az egyes termékverziókra vonatkozik. A cikkek ismert problémákat tartalmazhatnak.

3170455 MS16-087: A Windows nyomtatásisor-kezelő összetevőire vonatkozó biztonsági frissítés ismertetése: 2016. július 12.
3163912 Összesítő frissítés a Windows 10-hoz: 2016. július 12.
3172985 Összegző frissítés a Windows 10 1511-es verziójához és Windows Server 2016 Technical Preview 4-es verziójához: 2016. július 12.

Ismert problémák

Ha hálózati nyomtatást használ a környezetében, a következő problémák valamelyikét tapasztalhatja:

Előfordulhat, hogy egy nyomtató-illesztőprogram telepítésével kapcsolatos figyelmeztetés jelenik meg, vagy az illesztőprogram telepítése értesítés nélkül meghiúsul az MS16-087 frissítés telepítését követően. A jelenség itt az adott forgatókönyvtől függ.
1. eset: A csomagorientálatlan v3 nyomtatóillesztők esetében a következő figyelmeztető üzenet jelenhet meg, amikor a felhasználók gyorsnyomtatást támogató nyomtatókhoz próbálnak csatlakozni:

2. eset: A csomagkompatibilis illesztőprogramokat megbízható tanúsítvánnyal kell aláírni. Az ellenőrzési folyamat ellenőrzi, hogy az illesztőprogramban található összes fájl kivonatolva van-e a katalógusban. Ha ez az ellenőrzés meghiúsul, az illesztőprogram megbízhatatlannak minősül. Ebben az esetben az illesztőprogram telepítése le lesz tiltva, és a következő figyelmeztető üzenet jelenik meg:

3. forgatókönyv Nem interaktív helyzetekben (például ha a nyomtatót automatikus parancsfájlon keresztül telepítik), amikor a nyomtatóillesztő megfelel az 1. vagy a 2. forgatókönyvben leírt feltételeknek, a nyomtató telepítése meghiúsul, és nem jelenik meg figyelmeztető üzenet.

Ezekben az esetekben forduljon a hálózati rendszergazdához, és szerezzen be egy frissített illesztőprogramot a nyomtató gyártójától.

Útmutató hálózati rendszergazdáknak:
- Frissítse az érintett nyomtatóillesztőt. A Windows Vista rendszerben csomagkompatibilis V3 nyomtató-illesztőprogramokat vezettünk be. Egy csomagkompatibilis nyomtató-illesztőprogram telepítése megoldja a problémát.
- Ha egy adott régi nyomtatóhoz nem áll rendelkezésre a megfelelő nyomtató-illesztőprogram, a probléma megoldásához előtelepíthető a problémás nyomtatóillesztő az ügyfél rendszerén.
Ezekről a forgatókönyvekről a következő Microsoft-erőforrásokban talál további információt:
- A nyomtatási és dokumentumszolgáltatások architektúrája
- Csomagkompatibilis nyomtatóillesztők
Miután telepíti az MS16-087 (KB 3170455) biztonsági frissítést, és megpróbál csatlakozni egy megbízható, csomagkompatibilis nyomtatóhoz, amely egy Windows 8.1 vagy Windows Server 2012 R2 rendszert futtató rendszerre van telepítve, nem tud csatlakozni a nyomtatóhoz.

A probléma megoldásához telepítse a következő kumulatív Windows-frissítést a Windows 8.1 vagy a Windows Server 2012 R2 nyomtatókiszolgálón:
3000850 Windows RT 8.1, Windows 8.1 és Windows Server 2012 R2 2014. novemberi kumulatív frissítése

2016. októberi frissítés: Az ismert problémák megoldása

A Microsoft 2016. októberében kiadott egy frissítést, amely lehetővé teszi a hálózati rendszergazdák számára, hogy olyan házirendeket konfiguráljanak, amelyek engedélyezik az általuk biztonságosnak tartott nyomtató-illesztőprogramok telepítését. Ez a frissítés azt is lehetővé teszi, hogy a hálózati rendszergazdák az általuk biztonságosnak ítélt nyomtatókapcsolatokat telepítsenek.

A frissítéseket az alábbi kumulatív csomagok tartalmazzák.

Windows 10 RTM	KB 3192440
Windows 10 1511	KB 3192441
Windows 10 1607	KB 3194798
Windows 7 és Windows Server 2008 R2	KB 3192403
Windows Server 2012	KB 3192406
Windows 8.1 és Windows Server 2012 R2	KB 3192404

Csoportházirend konfigurálása nyomtatókiszolgálók hozzáadásához az engedélyezettek listájához

Kattintson a Start menü Futtatás parancsára.
Írja be a gpedit.msc fájlnevet, és kattintson az OK gombra.
Bontsa ki a Számítógép konfigurációja, majd a Felügyeleti sablonok elemet.
Kattintson a Nyomtatók elemre.
Kattintson duplán a Gyorsnyomtatási korlátozások elemre, majd válassza az Engedélyezve lehetőséget.
A Beállítások területen jelölje be A felhasználók csak rámutathatnak és nyomtathatnak ezekre a kiszolgálókra jelölőnégyzetet, majd írja be a szövegmezőbe pontosvesszővel elválasztva a teljes kiszolgálóneveket.
A Biztonsági Parancsok csoportban állítsa be őket az alábbiak szerint:
1. "Új kapcsolathoz tartozó illesztőprogramok telepítésekor": "Figyelmeztetés és jogosultságszint-emelési kérés megjelenítése".
2. "Meglévő kapcsolat illesztőprogramjainak frissítésekor": "Figyelmeztetés és jogosultságszint-emelési kérés megjelenítése".
Kattintson az Alkalmaz, majd az OK gombra.
A Nyomtatók házirend lapon kattintson duplán a Csomag kijelölése és nyomtatás – Jóváhagyott kiszolgálók lehetőségre.
Válassza az Engedélyezve lehetőséget.
A Beállítások csoportban kattintson a Megjelenítés gombra.
Írjon be egy teljes kiszolgálónevet minden sorba.
Kattintson az OK gombra.
Kattintson az Alkalmaz, majd az OK gombra.
Ha önálló ügyfelet használ, indítsa újra az alkalmazást, majd ellenőrizze, hogy érvényben vannak-e ezek a házirendek.
Ha tartományi házirendeket használ, küldje le a házirendeket a tartományi ügyfelekre, majd ellenőrizze, hogy ezek a házirendek érvényben vannak-e.

Megjegyzés: Miután engedélyezte ezeket a csoportházirendeket, hozzá kell adnia az összes nyomtatókiszolgálót a Gyorsnyomtatási korlátozások listájához és a Csomag mutatása és nyomtatása – Jóváhagyott kiszolgálók listájához. Ez a csomagismertségtől függetlenül így van.

A 2016. októberi frissítés – gyakori kérdések

K: El kell távolítanunk az előző frissítést?
V: Nem. A korábbi frissítés megszünteti ezt a sebezhetőséget. A 2016. októberi frissítés a probléma megoldását biztosítja, hogy a hálózati rendszergazdák telepíthessék az általuk biztonságosnak tartott illesztőprogramokat.
K: A helyi nyomtató telepítésekor a 2016. októberi frissítés és konfigurált csoportházirendek esetén is megjelenik a "Megbízik ebben a nyomtatóban?" üzenet. Miért van ez?
V.: Ez a kockázatcsökkentés hálózati nyomtatókat céloz meg, nem pedig a helyi nyomtatókat, így ez a viselkedés várható.

Megjegyzés: Ha megjelenik a "Megbízik a nyomtatóban?" üzenet, cserélje ki a jelenlegi illesztőprogramot egy megbízható, csomagkompatibilis illesztőprogramra, vagy telepítse az illesztőprogram fájljait a helyi illesztőprogram-tárolóba a helyi nyomtató telepítése előtt. További információt az Útmutató hálózati rendszergazdáknak című szakaszban talál.

A frissítés beszerzése és telepítése

1. módszer: Windows Update

A frissítés elérhető a Windows Update szolgáltatáson keresztül. Az automatikus frissítés bekapcsolásakor a rendszer automatikusan letölti és telepíti ezt a frissítést. Az automatikus frissítés bekapcsolásáról a Biztonsági frissítések automatikus beszerzése című témakörben olvashat bővebben.

Megjegyzés: A Windows RT 8.1 rendszer esetében ez a frissítés csak a Windows Update szolgáltatáson keresztül érhető el.

2. módszer: Microsoft letöltőközpont

A különálló frissítőcsomag beszerezhető a Microsoft letöltőközpontjából. A frissítés telepítéséhez kövesse a letöltési oldalon megjelenő telepítési utasításokat.

Kattintson az Ön által futtatott Windows-verziónak megfelelő Microsoft MS16-087 biztonsági közleményben található letöltési hivatkozásra.

További információ

Biztonsági frissítés központi telepítésével kapcsolatos információk

Windows Vista (minden kiadás) referenciatáblázat