MS16-087: Pembaruan keamanan untuk komponen spooler cetak Windows: 12 Juli 2016

Berlaku Untuk

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Pemberitahuan

Pembaruan keamanan ini dirilis ulang pada 12 September 2017 untuk mengatasi masalah umum dalam 3170455 pembaruan untuk CVE-2016-3238.

Microsoft telah menyediakan pembaruan berikut untuk versi Microsoft Windows yang saat ini didukung. Untuk informasi selengkapnya, buka artikel berikut di Pangkalan Pengetahuan Microsoft:

3170455 pembaruan yang dirilis ulang untuk Windows Server 2008
4038777 rollup bulanan dan pembaruan keamanan 4038779 untuk Windows 7 dan Windows Server 2008 R2
4038799 rollup bulanan dan 4038786 pembaruan keamanan untuk Windows Server 2012
4038792 rollup bulanan dan pembaruan keamanan 4038793 untuk Windows 8.1 dan Windows Server 2012 R2
4038781 pembaruan kumulatif untuk Windows 10
4038781 pembaruan kumulatif untuk Windows 10 Versi 1511
4038782 pembaruan kumulatif untuk Windows 10 Versi 1607 dan Server Windows 2016

Microsoft menyarankan agar pelanggan yang menjalankan Windows Server 2008 menginstal ulang 3170455 pembaruan. Microsoft merekomendasikan agar pelanggan yang menjalankan versi Windows lain yang didukung menginstal pembaruan yang sesuai. Untuk informasi selengkapnya, buka artikel Pangkalan Pengetahuan Microsoft 3170455.

Perubahan lain yang disertakan dalam rilis ulang MS16-087

Menambahkan pencatatan Peristiwa untuk membantu menentukan penyebab kesalahan penginstalan driver printer

Sebelumnya, satu-satunya cara bagi pelanggan untuk mengetahui mengapa pengemudi gagal dalam pemeriksaan pembatasan baru yang diterapkan sebagai bagian dari MS16-087 adalah mengumpulkan log etw cetak, lalu mengirim ke Microsoft untuk dianalisis.

Kami telah menambahkan fungsionalitas untuk mencatat penyebab kegagalan pada pencatat peristiwa sehingga pelanggan dapat menyelidiki sendiri akar penyebab kegagalan driver.

Informasi yang akan dicatat:

1. Jika driver tidak sadar paket atau tidak ditandatangani dengan benar, pesan berikut akan dicatat:

MSG_CSRSPL_UNTRUSTED_DRIVER: "Spooler cetak gagal mengunduh paket untuk driver <driverName>. Error code= <errorCodeFromListBelow>. Memblokir pengemudi karena mungkin ada kemungkinan potensi gangguan."

2. Jika driver gagal validasi tanda tangan menggunakan katalog yang disediakan, pesan berikut akan dicatat:

VALIDATEDRVINFO_FAILED: "Dalam VALIDATINGDRVINFO, Menambahkan driver printer <driverName> gagal, kode < kesalahan errorCodeFromListBelow>.

Kemungkinan kode Kesalahan:

Kode	Arti
0x800F0243L	Penerbit tidak tepercaya
0x800F024BL	Hash tidak ada di katalog
0x800F022FL	Tidak Ada Katalog untuk OEM INF
0x800F023FL	Tidak ada katalog authenticode
0x800F0240L	Authenticode tidak diizinkan
0x800F0249L	Generik "Penginstalan driver diblokir"

Ringkasan

Pembaruan keamanan ini mengatasi kerentanan di Microsoft Windows. Kerentanan yang lebih parah dapat memungkinkan eksekusi kode jarak jauh jika penyerang mampu melakukan serangan man-in-the-middle (MiTM) pada stasiun kerja atau server cetak, atau menyiapkan server cetak nakal di jaringan target.

Untuk mempelajari selengkapnya tentang kerentanan, lihat Buletin Keamanan Microsoft MS16-087.

Informasi Selengkapnya

Penting

Setelah menginstal pembaruan keamanan ini, untuk menyebarkan driver Titik dan Cetak dari server cetak ke klien, Anda harus menerapkan rollup pembaruan Windows berikut pada server printer Windows 8.1 atau Windows Server 2012 R2:
3000850 Rollup pembaruan November 2014 untuk Windows RT 8.1, Windows 8.1, dan Windows Server 2012 R2
Semua pembaruan keamanan dan nonkeamanan di masa mendatang untuk Windows RT 8.1, Windows 8.1, dan Windows Server 2012 R2 memerlukan 2919355 pembaruan untuk diinstal. Kami menyarankan Anda menginstal 2919355 pembaruan di komputer Windows RT berbasis 8.1, Windows 8.1, atau Windows Server 2012 R2 agar Anda dapat menerima pembaruan di masa mendatang.
Jika Anda menginstal paket bahasa setelah menginstal pembaruan ini, Anda harus menginstal ulang pembaruan ini. Oleh karena itu, sebaiknya instal paket bahasa yang Anda perlukan sebelum menginstal pembaruan ini. Untuk informasi selengkapnya, lihat Menambahkan paket bahasa ke Windows.

Informasi tambahan tentang pembaruan keamanan ini

Artikel berikut berisi informasi tambahan tentang pembaruan keamanan ini yang berkaitan dengan masing-masing versi produk. Artikel mungkin berisi informasi masalah yang diketahui.

3170455 MS16-087: Deskripsi pembaruan keamanan untuk komponen spooler cetak Windows: 12 Juli 2016
3163912 Pembaruan kumulatif untuk Windows 10: 12 Juli 2016
3172985 Pembaruan kumulatif untuk Pratinjau Teknis Windows 10 Versi 1511 dan Server Windows 2016 4: 12 Juli 2016

Masalah umum

Jika menggunakan pencetakan jaringan di lingkungan, Anda mungkin mengalami salah satu masalah berikut:

Anda mungkin diminta oleh peringatan tentang menginstal driver printer, atau driver mungkin gagal menginstal tanpa pemberitahuan setelah Anda menerapkan MS16-087. Gejalanya di sini tergantung pada skenario tertentu.
Skenario 1 Untuk driver printer v3 yang tidak sadar akan paket, pesan peringatan berikut mungkin ditampilkan saat pengguna mencoba menyambungkan ke printer tunjuk dan cetak:

Skenario 2: Driver sadar paket harus ditandatangani dengan sertifikat tepercaya. Proses verifikasi memeriksa apakah semua file yang disertakan dalam driver di-hash dalam katalog. Jika verifikasi itu gagal, pengemudi dianggap tidak dapat dipercaya. Dalam situasi ini, penginstalan driver diblokir, dan pesan peringatan berikut ditampilkan:

Skenario 3 Untuk skenario non-interaktif (misalnya, printer diinstal melalui skrip otomatis), ketika driver printer cocok dengan kriteria yang dijelaskan dalam Skenario 1 atau Skenario 2, penginstalan printer gagal, dan tidak ada pesan peringatan yang ditampilkan.

Dalam situasi ini, hubungi administrator jaringan Anda untuk mendapatkan driver yang diperbarui dari produsen printer.

Panduan untuk administrator jaringan:
- Perbarui driver printer yang terpengaruh. Driver printer V3 sadar paket diperkenalkan di Windows Vista. Menginstal driver printer sadar paket akan mengatasi masalah tersebut.
- Jika printer warisan tertentu tidak memiliki driver printer yang sesuai, menginstal driver printer yang bermasalah terlebih dahulu pada sistem klien akan mengatasi masalah tersebut.
Untuk informasi selengkapnya tentang skenario ini, lihat sumber daya Microsoft berikut:
- Arsitektur Layanan Cetak dan Dokumen
- Driver cetak sadar paket
Setelah menerapkan pembaruan keamanan MS16-087 (KB 3170455) dan mencoba menyambungkan ke printer sadar paket tepercaya yang diinstal pada sistem yang menjalankan Windows 8.1 atau Windows Server 2012 R2, Anda tidak dapat menyambungkan ke printer.

Untuk mengatasi masalah ini, terapkan rollup pembaruan Windows berikut di server printer Windows 8.1 atau Windows Server 2012 R2:
3000850 Rollup pembaruan November 2014 untuk Windows RT 8.1, Windows 8.1, dan Windows Server 2012 R2

Pembaruan Okt 2016: Mitigasi untuk masalah umum

Microsoft telah merilis pembaruan untuk Oktober 2016 yang memungkinkan administrator jaringan mengonfigurasi kebijakan yang mengizinkan penginstalan driver cetak yang mereka anggap aman. Pembaruan ini juga memungkinkan administrator jaringan untuk menyebarkan koneksi printer yang mereka anggap aman.

Pembaruan terkandung dalam paket roll-up berikut.

Windows 10 RTM	KB 3192440
Windows 10 1511	KB 3192441
Windows 10 1607	KB 3194798
Windows 7 dan Windows Server 2008 R2	KB 3192403
Windows Server 2012	KB 3192406
Windows 8.1 dan Windows Server 2012 R2	KB 3192404

Mengonfigurasi Kebijakan Grup untuk menambahkan server cetak ke daftar yang diizinkan

Klik Mulai, lalu klik Jalankan.
Ketik gpedit.msc, lalu klik OK.
Perluas Konfigurasi Komputer, lalu perluas Templat Administratif.
Klik Printer.
Klik dua kali Tunjuk dan Cetak Pembatasan, lalu pilih opsi Diaktifkan.
Di bawah Opsi, pilih kotak centang Pengguna hanya dapat mengarahkan dan mencetak ke server ini, lalu ketikkan nama server yang memenuhi syarat penuh dalam kotak teks, dipisahkan oleh titik koma.
Di bawah Perintah Keamanan, atur sebagai berikut:
1. "Saat menginstal driver untuk koneksi baru": "Tampilkan peringatan dan perintah ketinggian".
2. "Saat memperbarui driver untuk koneksi yang ada": "Tampilkan peringatan dan perintah ketinggian".
Klik Terapkan, lalu OK.
Di halaman kebijakan Printer, klik dua kali Titik Paket dan Cetak – Server yang disetujui.
Pilih opsi Diaktifkan.
Di bawah Opsi, klik Tampilkan.
Ketikkan satu nama server yang memenuhi syarat di setiap baris.
Klik OK.
Klik Terapkan, lalu klik OK.
Jika Anda menggunakan klien mandiri, mulai ulang klien, lalu verifikasi bahwa kebijakan ini berlaku.
Jika Anda menggunakan kebijakan domain, dorong kebijakan ke klien domain, lalu verifikasi bahwa kebijakan ini berlaku.

Catatan: Setelah mengaktifkan kebijakan grup ini, Anda harus menambahkan semua server printer ke daftar Pembatasan Poin dan Cetak serta daftar Server Poin Paket dan Cetak – Disetujui. Ini benar terlepas dari kesadaran paket.

Pembaruan Okt 2016 Pertanyaan yang Sering Diajukan

T: Haruskah kita menghapus instalan pembaruan sebelumnya?
J: Tidak. Pembaruan sebelumnya memperbaiki kerentanan. Pembaruan Oktober 2016 memberikan mitigasi untuk memberi administrator jaringan kemampuan untuk menginstal driver yang mereka anggap aman.
T: Meskipun pembaruan Oktober 2016 diinstal dan kebijakan grup dikonfigurasi, pesan "Apakah Anda mempercayai printer ini" masih ditampilkan saat saya mencoba menginstal printer lokal. Mengapa demikian?
J: Mitigasi ini menargetkan printer jaringan dan bukan printer lokal, sehingga perilaku ini diharapkan.

Catatan Jika Anda menerima pesan "Apakah Anda mempercayai printer ini", ganti driver saat ini dengan menggunakan driver yang sadar paket tepercaya, atau instal file driver ke bursa driver lokal sebelum Anda menginstal printer lokal. Untuk informasi selengkapnya, lihat bagian Panduan untuk administrator jaringan .

Cara mendapatkan dan menginstal pembaruan

Metode 1: Windows Update

Pembaruan ini tersedia melalui Windows Update. Ketika Anda mengaktifkan pembaruan otomatis, pembaruan ini akan diunduh dan diinstal secara otomatis. Untuk informasi selengkapnya tentang cara mengaktifkan pembaruan otomatis, lihat Mendapatkan pembaruan keamanan secara otomatis.

Catatan Untuk Windows RT 8.1, pembaruan ini hanya tersedia melalui Windows Update.

Metode 2: Pusat Unduh Microsoft

Anda dapat memperoleh paket pembaruan mandiri melalui Pusat Unduh Microsoft. Ikuti petunjuk penginstalan di halaman unduhan untuk menginstal pembaruan.

Klik tautan unduhan di Buletin Keamanan Microsoft MS16-087 yang sesuai dengan versi Windows yang Anda jalankan.

Informasi Selengkapnya

Informasi penyebaran pembaruan keamanan

Windows Vista (semua edisi) Tabel referensi