MS16-087: Beveiligingsupdate voor Windows-afdrukspooleronderdelen: 12 juli 2016

Van toepassing op

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Kennisgeving

Deze beveiligingsupdate is opnieuw uitgebracht op 12 september 2017 om bekende problemen in update 3170455 voor CVE-2016-3238 op te lossen.

Microsoft heeft de volgende updates beschikbaar gesteld voor momenteel ondersteunde versies van Microsoft Windows. Raadpleeg het volgende artikel in de Microsoft Knowledge Base voor meer informatie:

Opnieuw uitgebrachte update 3170455 voor Windows Server 2008
Maandelijks updatepakket 4038777 en beveiligingsupdate 4038779 voor Windows 7 en Windows Server 2008 R2
Maandelijks updatepakket 4038799 en beveiligingsupdate 4038786 voor Windows Server 2012
Maandelijks updatepakket 4038792 en beveiligingsupdate 4038793 voor Windows 8.1 en Windows Server 2012 R2
Cumulatieve update 4038781 voor Windows 10
Cumulatieve update 4038781 voor Windows 10 versie 1511
Cumulatieve update 4038782 voor Windows 10 versie 1607 en Windows Server 2016

Microsoft raadt klanten met Windows Server 2008 aan Update 3170455 opnieuw te installeren. Microsoft raadt klanten die andere ondersteunde versies van Windows gebruiken aan de juiste update te installeren. Raadpleeg het Microsoft Knowledge Base-artikel 3170455 voor meer informatie.

Andere wijzigingen die zijn opgenomen in de MS16-087 re-release

Logboekregistratie toegevoegd om de oorzaak van installatiefouten in het printerstuurprogramma te helpen bepalen

Voorheen was de enige manier voor een klant om te weten waarom een stuurprogramma niet slaagde voor de nieuwe beperkingscontroles die als onderdeel van MS16-087 werden geïmplementeerd, het verzamelen van etw-logboeken en vervolgens naar Microsoft te sturen voor analyse.

We hebben functionaliteit toegevoegd om de oorzaak van fouten in de logboekregistratie vast te leggen, zodat klanten de onderliggende oorzaak van stuurprogrammafouten zelf kunnen onderzoeken.

Informatie die wordt vastgelegd:

1. okt. Als een stuurprogramma niet pakketbewust is of niet correct is ondertekend, wordt het volgende bericht geregistreerd:

MSG_CSRSPL_UNTRUSTED_DRIVER: 'De afdrukspooler kan pakket voor stuurprogrammanaam <stuurprogrammanaam> niet downloaden. Error code= <errorCodeFromListBelow>. Stuurprogramma blokkeren omdat er mogelijk geknoeid kan worden."

2. okt. Als een stuurprogramma de validatie van een handtekening met behulp van de meegeleverde catalogus mislukt, wordt het volgende bericht geregistreerd:

VALIDATEDRVINFO_FAILED: 'In VALIDATINGDRVINFO is het toevoegen van de naam van het printerstuurprogramma>< mislukt, foutcode <errorCodeFromListBelow>.

Mogelijke foutcodes:

Code	Betekenis
0x800F0243L	Uitgever niet vertrouwd
0x800F024BL	Hash not in catalog
0x800F022FL	Geen catalogus voor OEM INF
0x800F023FL	Geen authenticode-catalogus
0x800F0240L	Authenticode niet toegestaan
0x800F0249L	Algemeen "Driver install blocked"

Overzicht

Deze beveiligingsupdate bevat oplossingen voor beveiligingsproblemen in Microsoft Windows. De ernstigste kwetsbaarheden kunnen leiden tot uitvoering van externe code als een aanvaller een man-in-the-middle (MiTM)-aanval kan uitvoeren op een werkstation of printserver, of een rogue-printserver op een doelnetwerk kan opzetten.

Zie Microsoft-beveiligingsbulletin MS16-087 voor meer informatie over dit beveiligingslek.

Meer informatie

Belangrijk

Nadat u deze beveiligingsupdate hebt geïnstalleerd en point-and-print-stuurprogramma's van printerservers wilt implementeren op clients, moet u het volgende Windows updatepakket toepassen op de printerserver voor Windows 8.1 of Windows Server 2012 R2:
3000850 updatepakket van november 2014 voor Windows RT 8.1, Windows 8.1 en Windows Server 2012 R2
Voor alle toekomstige beveiligings- en niet-beveiligingsupdates voor Windows RT 8.1, Windows 8.1 en Windows Server 2012 R2 moet een update 2919355 worden geïnstalleerd. We raden u aan Update 2919355 te installeren op uw Windows RT 8.1-, Windows 8.1- of Windows Server 2012 R2-computer, zodat u in de toekomst updates ontvangt.
Als je een taalpakket installeert nadat je deze update hebt geïnstalleerd, moet je deze update opnieuw installeren. Daarom raden we je aan alle taalpakketten te installeren die je nodig hebt voordat je deze update installeert. Zie Taalpakketten toevoegen aan Windows voor meer informatie.

Meer informatie over deze beveiligingsupdate

De volgende artikelen bevatten aanvullende informatie over deze beveiligingsupdate met betrekking tot afzonderlijke productversies. De artikelen kunnen informatie over bekende problemen bevatten.

3170455 MS16-087: Beschrijving van de beveiligingsupdate voor Windows-afdrukspooleronderdelen: 12 juli 2016
3163912 Cumulatieve update voor Windows 10: 12 juli 2016
3172985 Cumulatieve update voor Windows 10 versie 1511 en Windows Server 2016 Technical Preview 4: 12 juli 2016

Bekende problemen

Als u in uw omgeving afdrukken op het netwerk gebruikt, kunnen zich een van de volgende problemen voordoen:

Mogelijk krijgt u een waarschuwing te zien over het installeren van een printerstuurprogramma, of het stuurprogramma kan niet zonder melding worden geïnstalleerd nadat u MS16-087 hebt toegepast. De symptomen zijn afhankelijk van het specifieke scenario.
Scenario 1 Voor niet-pakketbewuste v3-printerstuurprogramma's kan het volgende waarschuwingsbericht worden weergegeven wanneer gebruikers verbinding proberen te maken met point-and-print-printers:

Scenario 2: pakketbewuste stuurprogramma's moeten worden ondertekend met een vertrouwd certificaat. Tijdens het verificatieproces wordt gecontroleerd of alle bestanden die in het stuurprogramma zijn opgenomen, zijn gehasht in de catalogus. Als die verificatie mislukt, wordt het stuurprogramma als onbetrouwbaar beschouwd. In deze situatie wordt de installatie van stuurprogramma's geblokkeerd en wordt het volgende waarschuwingsbericht weergegeven:

Scenario 3 In niet-interactieve scenario's (bijvoorbeeld wanneer de printer via een geautomatiseerd script wordt geïnstalleerd), mislukt de installatie van de printer en wordt er geen waarschuwingsbericht weergegeven wanneer het printerstuurprogramma voldoet aan de criteria die in scenario 1 of scenario 2 worden beschreven.

Neem in dergelijke gevallen contact op met de netwerkbeheerder om een bijgewerkt stuurprogramma van de printerfabrikant te krijgen.

Richtlijnen voor netwerkbeheerders:
- Werk het betrokken printerstuurprogramma bij. Pakketbewuste V3-printerstuurprogramma's werden geïntroduceerd in Windows Vista. U kunt dit probleem oplossen door een printerstuurprogramma met gebruik van pakketgebruik te installeren.
- Als voor een specifieke oudere printer niet het juiste printerstuurprogramma beschikbaar is, wordt het probleem opgelost door het problematische printerstuurprogramma vooraf te installeren op het clientsysteem.
Zie de volgende Microsoft-bronnen voor meer informatie over deze scenario's:
- Architectuur voor afdruk- en documentservices
- Pakketbewuste afdrukstuurprogramma's
Nadat u beveiligingsupdate MS16-087 (KB 3170455) hebt toegepast en hebt geprobeerd verbinding te maken met een vertrouwde printer die pakketbewust is en die is geïnstalleerd op een systeem met Windows 8.1 of Windows Server 2012 R2, kunt u geen verbinding maken met de printer.

U kunt dit probleem oplossen door het volgende updatepakket van Windows toe te passen op de printerserver van Windows 8.1 of Windows Server 2012 R2:
3000850 updatepakket van november 2014 voor Windows RT 8.1, Windows 8.1 en Windows Server 2012 R2

Update van oktober 2016: Oplossing voor bekende problemen

Microsoft heeft een update uitgebracht voor oktober 2016 waarmee netwerkbeheerders beleid kunnen configureren waarmee afdrukstuurprogramma's kunnen worden geïnstalleerd die zij als veilig beschouwen. Dankzij deze update kunnen netwerkbeheerders ook printerverbindingen implementeren die zij veilig achten.

De updates zijn opgenomen in de volgende verzamelpakketten.

Windows 10 RTM	KB 3192440
Windows 10 1511	KB 3192441
Windows 10 1607	KB 3194798
Windows 7 en Windows Server 2008 R2	KB 3192403
Windows Server 2012	KB 3192406
Windows 8.1 en Windows Server 2012 R2	KB 3192404

Het configureren van groepsbeleid om afdrukservers toe te voegen aan de lijst met toegestane printers.

Klik op Start en klik vervolgens op Uitvoeren.
Typ gpedit.msc en klik op OK.
Vouw Computerconfiguratie uit en vouw vervolgens Beheerssjablonen uit.
Klik op Printers.
Dubbelklik op Aanwijs- en afdrukbeperkingen en selecteer vervolgens de optie Ingeschakeld.
Schakel onder Opties het selectievakje Gebruikers kunnen alleen verwijzen en afdrukken naar deze servers in en typ vervolgens de namen van de volledig gekwalificeerde servers in het tekstvak, gescheiden door puntkomma's.
Stel ze onder Security Prompts als volgt in:
1. "Bij het installeren van stuurprogramma's voor een nieuwe verbinding": "Waarschuwings- en uitbreidingsprompt weergeven".
2. "Bij het bijwerken van stuurprogramma's voor een bestaande verbinding": "Waarschuwings- en uitbreidingsprompt weergeven".
Klik op Toepassen en vervolgens op OK.
Dubbelklik op de beleidspagina Printers op Pakketaanwijzer en Afdrukken - Goedgekeurde servers.
Selecteer de optie Ingeschakeld.
Klik onder Opties op Weergeven.
Typ in elke rij een volledig gekwalificeerde servernaam.
Klik op OK.
Klik op Toepassen en klik vervolgens op OK.
Als u een zelfstandige client gebruikt, start u de client opnieuw en controleert u vervolgens of deze beleidsregels van kracht zijn.
Als u domeinbeleid gebruikt, stuurt u het beleid door naar de domeinclients en controleert u vervolgens of dit beleid van kracht is.

Opmerking Nadat u deze groepsbeleidsregels hebt ingeschakeld, moet u alle printerservers toevoegen aan zowel de lijst Point- en printbeperkingen als de lijst Pakketpoint-and-print - Goedgekeurd server. Dit geldt ongeacht het pakketbewustzijn.

Update van oktober 2016: veelgestelde vragen

V: Moeten we de vorige update verwijderen?
A: Nee. Met de vorige update wordt het beveiligingslek verholpen. De update van oktober 2016 biedt risicobeperking om netwerkbeheerders de mogelijkheid te bieden stuurprogramma's te installeren die zij veilig achten.
V: Zelfs met de update van oktober 2016 geïnstalleerd en het groepsbeleid geconfigureerd, wordt het bericht 'Vertrouwt u deze printer' nog steeds weergegeven wanneer ik een lokale printer probeer te installeren. Waarom is dat?
A: Deze beperking is bedoeld voor netwerkprinters en niet voor lokale printers, dus dit gedrag is te verwachten.

Opmerking Als u het bericht 'Vertrouwt u deze printer' ontvangt, vervangt u uw huidige stuurprogramma door een vertrouwd stuurprogramma dat op pakketten let of installeert u de stuurprogrammabestanden in het lokale stuurprogrammaarchief voordat u de lokale printer installeert. Zie de sectie Richtlijnen voor netwerkbeheerders voor meer informatie.

De update verkrijgen en installeren

Methode 1: Windows Update

Deze update is beschikbaar via Windows Update. Wanneer u automatisch bijwerken inschakelt, wordt deze update automatisch gedownload en geïnstalleerd. Zie Beveiligingsupdates automatisch downloaden voor meer informatie over het inschakelen van automatische updates.

Opmerking Voor Windows RT 8.1 is deze update alleen beschikbaar via Windows Update.

Methode 2: Microsoft Downloadcentrum

U kunt het zelfstandige updatepakket verkrijgen via het Microsoft Downloadcentrum. Volg de installatie-instructies op de downloadpagina om de update te installeren.

Klik op de downloadkoppeling in Microsoft-beveiligingsbulletin MS16-087 die overeenkomt met de versie van Windows die u gebruikt.

Meer informatie

Informatie over de implementatie van beveiligingsupdates

Windows Vista (alle versies) Verwijzingstabel