MS16-087: Aggiornamento della sicurezza per i componenti dello spooler di stampa di Windows: 12 luglio 2016

Si applica a

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Avviso

Questo aggiornamento di sicurezza è stato rilasciato nuovamente il 12 settembre 2017 per risolvere problemi noti nell'aggiornamento 3170455 CVE-2016-3238.

Microsoft ha reso disponibili gli aggiornamenti seguenti per le versioni attualmente supportate di Microsoft Windows. Per ulteriori informazioni, vedere il seguente articolo della Microsoft Knowledge Base:

Aggiornamento 3170455 rilasciato di nuovo per Windows Server 2008
Aggiornamento cumulativo mensile 4038777 e della sicurezza 4038779 per Windows 7 e Windows Server 2008 R2
Aggiornamento cumulativo mensile 4038799 e 4038786 di aggiornamento della sicurezza per Windows Server 2012
Aggiornamento mensile 4038792 di rollup e sicurezza 4038793 per Windows 8.1 e Windows Server 2012 R2
Aggiornamento cumulativo 4038781 per Windows 10
Aggiornamento cumulativo 4038781 per Windows 10 versione 1511
Aggiornamento cumulativo 4038782 per Windows 10 versione 1607 e Windows Server 2016

Microsoft consiglia ai clienti che eseguono Windows Server 2008 di reinstallare l'aggiornamento 3170455. Microsoft consiglia ai clienti che eseguono altre versioni supportate di Windows di installare l'aggiornamento appropriato. Per altre informazioni, vedere l'articolo della Microsoft Knowledge Base 3170455.

Altre modifiche incluse nella nuova versione MS16-087

È stata aggiunta la registrazione eventi per determinare la causa degli errori di installazione del driver della stampante

In precedenza, l'unico modo per un cliente di sapere perché un driver non ha superato i nuovi controlli di restrizione implementati come parte del bollettino MS16-087 era quello di raccogliere i log di stampa etw, quindi inviarli a Microsoft per l'analisi.

È stata aggiunta funzionalità per registrare la causa degli errori nel registratore di eventi in modo che i clienti possano analizzare la causa radice degli errori dei driver stessi.

Informazioni che verranno registrate:

1. Se un driver non è compatibile con il pacchetto o non è firmato correttamente, viene registrato il messaggio seguente:

MSG_CSRSPL_UNTRUSTED_DRIVER: "Lo spooler di stampa non è riuscito a scaricare il pacchetto per driverName> del driver<. Error code= <errorCodeFromListBelow>. Bloccando il conducente in quanto potrebbe esserci la possibilità di potenziali manomissioni".

2. Se un driver non riesce a convalidare una firma utilizzando il catalogo fornito, viene registrato il messaggio seguente:

VALIDATEDRVINFO_FAILED: "In VALIDATINGDRVINFO, l'aggiunta del driverName> del driver della < stampante non è riuscita, codice < di errore errorCodeFromListBelow>.

Possibili codici di errore:

Codice	Significato
0x800F0243L	Editore non attendibile
0x800F024BL	Hash non presente nel catalogo
0x800F022FL	Nessun catalogo per OEM INF
0x800F023FL	Nessun catalogo Authenticode
0x800F0240L	Authenticode non consentito
0x800F0249L	Generico "Installazione del driver bloccata"

Riepilogo

Questo aggiornamento della sicurezza risolve le vulnerabilità di Microsoft Windows. La più grave delle vulnerabilità potrebbe consentire l'esecuzione di codice in modalità remota se un utente malintenzionato è in grado di eseguire un attacco man-in-the-middle (MiTM) su una workstation o un server di stampa o configurare un server di stampa non autorizzato su una rete di destinazione.

Per ulteriori informazioni sulla vulnerabilità, vedere il Bollettino Microsoft sulla sicurezza MS16-087.

Altre informazioni

Importante

Dopo aver installato questo aggiornamento della sicurezza, per distribuire i driver di selezione e stampa dai server di stampa ai client, è necessario applicare il seguente aggiornamento cumulativo di Windows Update nel server di stampa di Windows 8.1 o Windows Server 2012 R2:
3000850 Aggiornamento cumulativo di novembre 2014 per Windows RT 8.1, Windows 8.1 e Windows Server 2012 R2
Tutti i futuri aggiornamenti della sicurezza e non della sicurezza per Windows RT 8.1, Windows 8.1 e Windows Server 2012 R2 richiedono 2919355 di aggiornamento per l'installazione. È consigliabile installare 2919355 di aggiornamento nel computer Windows RT basato su 8.1, Windows 8.1 o Windows Server 2012 R2 in modo da ricevere gli aggiornamenti futuri.
Se installi un Language Pack dopo aver installato questo aggiornamento, devi reinstallarlo. Pertanto, Microsoft consiglia di installare i Language Pack necessari prima di installare questo aggiornamento. Per altre informazioni, vedere Aggiungere Language Pack a Windows.

Ulteriori informazioni su questo aggiornamento della sicurezza

Gli articoli seguenti contengono informazioni aggiuntive su questo aggiornamento della sicurezza in relazione alle singole versioni del prodotto. Gli articoli possono contenere informazioni su problemi noti.

3170455 MS16-087: Descrizione dell'aggiornamento della sicurezza per i componenti dello spooler di stampa di Windows: 12 luglio 2016
3163912 Aggiornamento cumulativo per Windows 10: 12 luglio 2016
3172985 Aggiornamento cumulativo per Windows 10 versione 1511 e Windows Server 2016 Technical Preview 4: 12 luglio 2016

Problemi noti

Se si usa la stampa di rete nel proprio ambiente, potrebbe verificarsi uno dei problemi seguenti:

Potrebbe essere visualizzato un avviso relativo all'installazione di un driver della stampante oppure l'installazione del driver potrebbe non riuscire senza notifica dopo l'applicazione del bollettino MS16-087. I sintomi in questo caso dipendono dallo scenario specifico.
Scenario 1 Per i driver della stampante v3 non compatibili con il pacchetto, è possibile che venga visualizzato il messaggio di avviso seguente quando gli utenti tentano di connettersi a stampanti di tipo point-and-print:

Scenario 2: I driver compatibili con i pacchetti devono essere firmati con un certificato attendibile. Il processo di verifica controlla se tutti i file inclusi nel driver sono hash nel catalogo. Se la verifica non riesce, il driver è considerato non attendibile. In questo caso, l'installazione del driver è bloccata e viene visualizzato il messaggio di avviso seguente:

Scenario 3 Per gli scenari non interattivi (ad esempio, se la stampante viene installata tramite uno script automatico), quando il driver della stampante soddisfa i criteri descritti nello scenario 1 o nello scenario 2, l'installazione della stampante non riesce e non viene visualizzato alcun messaggio di avviso.

In questi casi, contatta l'amministratore di rete per ottenere un driver aggiornato dal produttore della stampante.

Linee guida per gli amministratori di rete:
- Aggiorna il driver della stampante interessato. In Windows Vista sono stati introdotti i driver della stampante V3 compatibili con i pacchetti. L'installazione di un driver della stampante compatibile con i pacchetti risolverà il problema.
- Se una specifica stampante legacy non dispone del driver della stampante appropriato, la preinstallazione del driver della stampante problematico nel sistema client risolverà il problema.
Per altre informazioni su questi scenari, vedere le risorse Microsoft seguenti:
- Architettura di Servizi di stampa e digitalizzazione
- Driver di stampa compatibili con pacchetti
Dopo aver applicato l'aggiornamento della sicurezza MS16-087 (KB 3170455) e aver provato a connettersi a una stampante compatibile con i pacchetti attendibili installata su un sistema che esegue Windows 8.1 o Windows Server 2012 R2, non è possibile connettersi alla stampante.

Per risolvere questo problema, applicare il seguente aggiornamento cumulativo di Windows Update nel server di stampa di Windows 8.1 o Windows Server 2012 R2:
3000850 Aggiornamento cumulativo di novembre 2014 per Windows RT 8.1, Windows 8.1 e Windows Server 2012 R2

Aggiornamento di ottobre 2016: prevenzione dei problemi noti

Microsoft ha rilasciato un aggiornamento per ottobre 2016 che consente agli amministratori di rete di configurare i criteri che consentono l'installazione di driver di stampa che considerano sicuri. Questo aggiornamento consente inoltre agli amministratori di rete di distribuire le connessioni della stampante che considerano sicure.

Gli aggiornamenti sono contenuti nei pacchetti di rollup seguenti.

Windows 10 RTM	KB 3192440
Windows 10 1511	KB 3192441
Windows 10 1607	KB 3194798
Windows 7 e Windows Server 2008 R2	KB 3192403
Windows Server 2012	KB 3192406
Windows 8.1 e Windows Server 2012 R2	KB 3192404

Configurazione dei criteri di gruppo per aggiungere server di stampa all'elenco di quelli consentiti

Fare clic sul pulsante Start e quindi su Esegui.
Digitare gpedit.msc e quindi fare clic su OK.
Espandere Configurazione computer e quindi Modelli amministrativi.
Fare clic su Stampanti.
Fare doppio clic su Restrizioni punto e stampa e quindi selezionare l'opzione Abilitato.
In Opzioni selezionare la casella di controllo Gli utenti possono puntare e stampare solo questi server e quindi digitare i nomi completi dei server nella casella di testo, separati da punto e virgola.
In Prompt di sicurezza, impostali come segue:
1. "Durante l'installazione dei driver per una nuova connessione": "Mostra avviso e richiesta di elevazione".
2. "Quando si aggiornano i driver per una connessione esistente": "Mostra avviso e richiesta di elevazione".
Fare clic su Applica, quindi su OK.
Nella pagina dei criteri Stampanti, fare doppio clic su Package Point and Print - Approved servers.
Selezionare l'opzione Abilitato.
In Opzioni fare clic su Mostra.
Digitare un nome server completo in ogni riga.
Fare clic su OK.
Fare clic su Applica, quindi su OK.
Se si usa un client autonomo, riavviare il client e quindi verificare che questi criteri siano in vigore.
Se si utilizzano criteri di dominio, inviare i criteri ai client di dominio e quindi verificare che questi criteri siano in vigore.

Nota Dopo aver abilitato questi criteri di gruppo, è necessario aggiungere tutti i server di stampa sia all'elenco Restrizioni punto e stampa che all'elenco Pacchetto di server selezionati e stampati - Approvati. Questo vale indipendentemente dalla consapevolezza del pacchetto.

Domande frequenti sull'aggiornamento di ottobre 2016

D: È necessario disinstallare l'aggiornamento precedente?
R: No. L'aggiornamento precedente corregge la vulnerabilità. L'aggiornamento di ottobre 2016 fornisce la mitigazione per offrire agli amministratori di rete la possibilità di installare i driver che considerano sicuri.
D: Anche con l'aggiornamento di ottobre 2016 installato e i criteri di gruppo configurati, il messaggio "Considera attendibile questa stampante" viene ancora visualizzato quando si tenta di installare una stampante locale. Per quale motivo?
R: Questa mitigazione si rivolge alle stampanti di rete e non alle stampanti locali, quindi questo comportamento è previsto.

Nota: se ricevi il messaggio "Considera attendibile questa stampante", sostituisci il driver corrente usando un driver compatibile con i pacchetti attendibili o installa i file del driver nell'archivio driver locale prima di installare la stampante locale. Per altre informazioni, vedere la sezione Guida per gli amministratori di rete .

Come ottenere e installare l'aggiornamento

Metodo 1: Windows Update

Questo aggiornamento è disponibile tramite Windows Update. Quando si attiva l'aggiornamento automatico, questo aggiornamento verrà scaricato e installato automaticamente. Per altre informazioni su come attivare l'aggiornamento automatico, vedere Ottenere automaticamente gli aggiornamenti della sicurezza.

Nota: per Windows RT 8.1, questo aggiornamento è disponibile solo tramite Windows Update.

Metodo 2: Area download Microsoft

È possibile ottenere il pacchetto di aggiornamento autonomo tramite l'Area download Microsoft. Segui le istruzioni di installazione nella pagina di download per installare l'aggiornamento.

Fare clic sul collegamento per il download nel Bollettino Microsoft sulla sicurezza MS16-087 che corrisponde alla versione di Windows in esecuzione.

Altre informazioni

Informazioni sulla distribuzione degli aggiornamenti della sicurezza

Windows Vista (tutte le edizioni) Tabella di riferimento