MS16-087: Windows 印刷スプーラーコンポーネントのセキュリティ更新プログラム: 2016 年 7 月 12 日

適用先

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

通知

このセキュリティ更新プログラムは 2017 年 9 月 13 日に再リリースされ、CVE-2016-3238 の 3170455 更新プログラムの既知の問題を解決します。

マイクロソフトでは、次の現在サポートされている Microsoft Windows のバージョン用の更新プログラムを提供しています。詳細については、以下のマイクロソフトサポート技術情報を参照してください。

再リリースされた Windows Server 2008 の更新プログラム 3170455
Windows 7 および Windows Server 2008 R2 用の月例のロールアップ 4038777 およびセキュリティ更新プログラム 4038779
Windows Server 2012 用の月例のロールアップ 4038799 およびセキュリティ更新プログラム 4038786
Windows 8.1 および Windows Server 2012 R2 用の月例のロールアップ 4038792 およびセキュリティ更新プログラム 4038793
Windows 10 用の累積的な更新プログラム 4038781
Windows 10 Version 1511 用の累積的な更新プログラム 4038781
Windows 10 Version 1607 および Windows Server 2016 用の累積的な更新プログラム 4038782

Windows Server 2008 を実行している場合は更新プログラム 3170455 を再インストールすることをお勧めします。他のサポートされるバージョンの Windows を実行している場合は適切な更新プログラムをインストールすることをお勧めします。詳細については、マイクロソフトサポート技術情報 3170455 を参照してください。

再リリース MS16-087 に含まれているその他の変更点

プリンタードライバーのインストールエラーの原因特定に役立つイベントログの追加

以前までは、ドライバーが MS16-087 の一部として実装された新しい制限の確認処理に失敗した理由を知る唯一の方法は、ETW ログを収集し、分析用にマイクロソフトに送信することでした。

ドライバーの失敗の根本原因をお客様ご自身で調査できるように、失敗の原因を記録する機能をイベントログツールに追加しました。

記録される情報は次のとおりです。

1. ドライバーがパッケージ対応でない場合、または正しく署名されていない場合は、次のメッセージがログに記録されます。

MSG_CSRSPL_UNTRUSTED_DRIVER: "印刷スプーラーがドライバー <driverName> のパッケージをダウンロードできませんでした。エラーコード= <errorCodeFromListBelow>。 Blocking driver as there could be a possibility of potential tampering. (印刷スプーラーはドライバー <ドライバー名> 用のパッケージをダウンロードできませんでした。エラーコード = <以下のエラーコードのいずれか>。改ざんの可能性があるため、ドライバーをブロックします。)"

2. 指定されたカタログを使用してドライバーが署名の検証に失敗した場合、次のメッセージがログに記録されます。

VALIDATEDRVINFO_FAILED: "VALIDATEDRVINFO、プリンタードライバー <driverName の追加>失敗しました。エラーコード<errorCodeFromListBelow>。

可能性のあるエラーコード:

コード	意味
0x800F0243L	信頼されていない発行元
0x800F024BL	カタログにないハッシュ
0x800F022FL	OEM INF 用のカタログがない
0x800F023FL	Authenticode カタログがない
0x800F0240L	Authenticode が使用できない
0x800F0249L	汎用“ドライバーのインストールがブロックされている”

概要

このセキュリティ更新プログラムは、Microsoft Windows の脆弱性を解決します。これらの脆弱性で比較的深刻なものでは、攻撃者がワークステーションまたはプリントサーバーで man-in-the-middle (MiTM) 攻撃を実行した場合、または攻撃目標のネットワーク上に不正なプリントサーバーを設定した場合、リモートコードが実行される可能性があります。

脆弱性の詳細については、「マイクロソフトセキュリティ情報 MS16-087」を参照してください。

追加情報

重要

このセキュリティ更新プログラムをインストールし、プリントサーバーからクライアントにポイントアンドプリントドライバーをデプロイできるようにした後は、以下の Windows 更新プログラムのロールアップを Windows 8.1 または Windows Server 2012 R2 プリンターサーバーに適用する必要があります。
Windows RT 8.1、Windows 8.1、Windows Server 2012 R2 の 2014 年 11 月3000850更新プログラムのロールアップ
今後の Windows RT 8.1、Windows 8.1、および Windows Server 2012 R2 のすべてのセキュリティ更新プログラムと通常の更新プログラムには、更新プログラム 2919355 がインストールされている必要があります。将来の更新プログラムをインストールするために、Windows RT 8.1 ベース、Windows 8.1 ベース、または Windows Server 2012 R2 ベースのコンピューターに更新プログラム 2919355 をインストールしておくことをお勧めします。
この更新プログラムをインストールした後に言語パックをインストールした場合は、この更新プログラムを再インストールする必要があります。そのため、この更新プログラムをインストールする前に、必要な言語パックをすべてインストールすることをお勧めします。詳細については、「Add language packs to Windows」(英語情報) を参照してください。

このセキュリティ更新プログラムの関連情報

以下の資料では製品バージョン別に、このセキュリティ更新プログラムに関する追加情報が掲載されています。資料には、既知の問題に関する情報が掲載されている場合があります。

3170455 MS16-087: Windows 印刷スプーラーコンポーネントのセキュリティ更新プログラムの説明: 2016 年 7 月 12 日
3163912 Windows 10の累積的な更新プログラム: 2016 年 7 月 12 日
3172985 Windows 10 バージョン 1511 および Windows Server 2016 Technical Preview 4 の累積的な更新プログラム: 2016 年 7 月 12 日

既知の問題

お使いの環境内でネットワーク印刷を利用している場合に、次のいずれかの問題が発生する可能性があります。

プリンタードライバーのインストールに関する警告が表示される場合や、MS16-087 の適用後にドライバーのインストールが何の通知もなしに失敗する場合があります。この場合の現象は特定のシナリオに応じて異なります。
シナリオ 1 実装を認識できない v3 プリンタードライバーの場合は、ユーザーがポイントアンドプリントプリンターに接続しようとすると、次の警告メッセージが表示されることがあります。

シナリオ 2 実装を認識できるドライバーは、信頼された証明書で署名されている必要があります。検証プロセスでは、ドライバーに含まれるすべてのファイルがカタログ内でハッシュされているかどうかを確認します。検証に失敗した場合、そのドライバーは信頼できないと判断されます。この場合、ドライバーのインストールはブロックされ、次の警告メッセージが表示されます。

シナリオ 3 非対話型のシナリオの場合 (自動スクリプトによってプリンターがインストールされるなど)、プリンタードライバーが「シナリオ 1」または「シナリオ 2」で説明した条件に一致すると、プリンターのインストールは失敗し、警告メッセージが表示されます。

このような場合は、プリンターの製造元から更新されたドライバーを入手するようにネットワーク管理者に連絡してください。

ネットワーク管理者向けのガイダンス:
- 影響を受けたプリンタードライバーを更新してください。実装を認識できる V3 プリンタードライバーは Windows Vista で導入されました。実装を認識できるプリンタードライバーをインスールすると、問題が解決します。
- 特定の従来のプリンターに適切なプリンタードライバーが用意されていない場合は、問題のあるプリンタードライバーをクライアントシステムにプレインストールすると、問題が解決します。
これらのシナリオの詳細については、マイクロソフトの次のリソースを参照してください。
- 印刷とドキュメントサービスのアーキテクチャ
- Package-aware プリントドライバー
セキュリティ更新プログラム MS16-087 (KB 3170455) を適用した後、Windows 8.1 または Windows Server 2012 R2 を実行しているシステムにインストールされている、信頼済みパッケージ対応プリンターに接続しようとすると、そのプリンターに接続できません。

問題を解決するには、Windows 8.1 または Windows Server 2012 R2 プリンターサーバーに次の Windows 更新プログラムのロールアップを適用します。
Windows RT 8.1、Windows 8.1、Windows Server 2012 R2 の 2014 年 11 月3000850更新プログラムのロールアップ

2016 年 10 月公開の更新プログラム: 既知の問題の軽減策

マイクロソフトは、ネットワーク管理者によるポリシーの構成を許可する 2016 年 10 月の更新プログラムをリリースしました。これによりネットワーク管理者が安全と考えるプリントドライバーのインストールが許可されます。また、この更新プログラムでは、ネットワーク管理者が安全と考えるプリンター接続のデプロイも許可されます。

この更新プログラムは以下のロールアップパッケージに含まれています。

Windows 10 RTM	サポート技術情報 3192440
Windows 10 1511	サポート技術情報 3192441
Windows 10 1607	サポート技術情報 3194798
Windows 7 および Windows Server 2008 R2	サポート技術情報 3192403
Windows Server 2012	サポート技術情報 3192406
Windows 8.1 and Windows Server 2012 R2	サポート技術情報 3192404

グループポリシーを構成し、プリントサーバーを許可リストに追加する

[スタート] ボタンをクリックし、[ファイル名を指定して実行] をクリックします。
「gpedit.msc」と入力し、[OK] をクリックします。
[コンピュータの構成] の [管理用テンプレート] を展開します。
[プリンター] をクリックします。
[ポイントアンドプリントの制限] をダブルクリックし、[有効] オプションを選択します。
[オプション] で [ユーザーがポイントアンドプリントを行うことができるサーバー] チェックボックスをオンにしてから、テキストボックスにセミコロンで区切って完全修飾サーバー名を入力します。
[セキュリティの確認] で、次のように設定します。
1. [新しい接続用にドライバーをインストールした場合]: [警告および昇格時のプロンプトを表示する]。
2. "既存の接続のドライバーを更新する場合": "警告と昇格プロンプトを表示する"。
[適用]、[OK] の順にクリックします。
[プリンター] ポリシーページで [ポイントと印刷の実装 - 許可されたサーバー] をダブルクリックします。
[有効] オプションを選択します。
[オプション] で [表示] をクリックします。
各行に 1 つずつ完全修飾サーバー名を入力します。
[OK] をクリックします。
[適用] をクリックし、[OK] をクリックします。
スタンドアロンクライアントを使用している場合は、クライアントを再起動してからこれらのポリシーが有効になっていることを確認します。
ドメインポリシーを使用している場合は、ドメインクライアントにそのポリシーをプッシュしてからこれらのポリシーが有効になっていることを確認します。

注: これらのグループポリシーを有効にしてから、すべてのプリンターサーバーを [ポイントアンドプリントの制限] リストと [ポイントと印刷の実装 - 許可されたサーバー] リストに追加する必要があります。この点はパッケージ対応かどうかに関係なく該当します。

2016 年 10 月の更新プログラムに関するよく寄せられる質問

Q: 以前の更新プログラムをアンインストールする必要がありますか?
A: できません。以前の更新プログラムは脆弱性を修正するものです。 2016 年 10 月の更新プログラムは、ネットワーク管理者が安全と考えるドライバーをインストールできるようにする軽減策です。
Q: 2016 年 10 月の更新プログラムをインストールし、グループポリシーを構成しても、ローカルプリンターをインストールしようとすると "このプリンターを信頼しますか" メッセージが表示されます。この理由は何ですか。
A: この軽減策は、ローカルプリンターではなくネットワークプリンターを対象とするため、この動作が予想されます。

注: "このプリンターを信頼しますか" メッセージが表示されない場合は、現在のドライバーを信頼できるパッケージ対応ドライバーで置き換えるか、ローカルプリンターをインストールする前にローカルドライバーストアにドライバーファイルをインストールしてください。詳細については、「ネットワーク管理者向けガイダンス」を参照してください。

更新プログラムの入手方法およびインストール方法

方法 1: Windows Update

この更新プログラムは、Windows Update を介して利用可能です。自動更新を有効にすると、この更新プログラムは自動的にダウンロードおよびインストールされます。自動更新を有効にする方法の詳細については、セキュリティ更新プログラムを自動的に入手を参照してください。

注: Windows RT 8.1 用のこの更新プログラムは、Windows Update を介してのみ入手できます。

方法 2: Microsoft ダウンロードセンター

Microsoft ダウンロードセンターからスタンドアロンの更新プログラムパッケージを取得できます。ダウンロードページのインストール手順に従って、更新プログラムをインストールします。

搭載されている Windows のバージョンに対応する「マイクロソフトセキュリティ情報 MS16-087」のダウンロードリンクをクリックします。

追加情報

セキュリティ更新プログラムの展開情報

Windows Vista (すべてのエディション) リファレンステーブル