MS16-087: Atualização de segurança para componentes do spooler de impressão do Windows: terça-feira, 12 de julho de 2016

Aplica-se A

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Aviso

Esta atualização de segurança foi disponibilizada novamente a 12 de setembro de 2017 para resolver problemas conhecidos na atualização 3170455 para CVE-2016-3238.

A Microsoft disponibilizou as seguintes atualizações para as versões atualmente suportadas do Microsoft Windows. Para obter mais informações, consulte o seguinte artigo na Base de dados de Conhecimento da Microsoft:

Atualização 3170455 relançada para o Windows Server 2008
Rollup mensal 4038777 e atualizações de segurança 4038779 para Windows 7 e Windows Server 2008 R2
Rollup mensal 4038799 e 4038786 de atualizações de segurança para Windows Server 2012
Rollup mensal 4038792 e 4038793 de atualizações de segurança para Windows 8.1 e Windows Server 2012 R2
Atualização cumulativa 4038781 para Windows 10
Atualização cumulativa 4038781 para Windows 10 Versão 1511
Atualização cumulativa 4038782 para Windows 10 Versão 1607 e Windows Server 2016

A Microsoft recomenda que os clientes com Windows Server 2008 reinstalem a atualização 3170455. A Microsoft recomenda que os clientes com outras versões suportadas do Windows instalem a atualização adequada. Para obter mais informações, consulte o artigo da Base de Dados de Conhecimento Microsoft 3170455.

Outras alterações incluídas no relançamento MS16-087

Adição do registo de eventos para ajudar a determinar a causa dos erros de instalação do controlador de impressora

Anteriormente, a única maneira de um cliente saber por que um driver falhou nas novas verificações de restrição implementadas como parte do MS16-087 era coletar logs etw de impressão e, em seguida, enviá-los à Microsoft para análise.

Adicionámos funcionalidade para registar a causa das falhas no registo de eventos para que os clientes possam investigar eles próprios a causa raiz das falhas de controlador.

Informações que serão registadas:

1. Se um driver não estiver ciente do pacote ou não estiver devidamente assinado, a seguinte mensagem será registrada:

MSG_CSRSPL_UNTRUSTED_DRIVER: "O spooler de impressão não conseguiu transferir o pacote para o driver <driverName>. Código de erro = <errorCodeFromListBelow>. Bloqueando o motorista, pois pode haver uma possibilidade de potencial adulteração."

2. Se um driver falhar na validação de uma assinatura usando o catálogo fornecido, a seguinte mensagem será registrada:

VALIDATEDRVINFO_FAILED: "In VALIDATINGDRVINFO, Adding printer driver <driverName> failed, error code <errorCodeFromListBelow>.

Códigos de erro possíveis:

Código	Significado
0x800F0243L	Fabricante não fidedigno
0x800F024BL	Hash fora do catálogo
0x800F022FL	Sem catálogo para OEM INF
0x800F023FL	Sem catálogo authenticode
0x800F0240L	Authenticode não permitido
0x800F0249L	Genérico "Instalação de controlador bloqueada"

Resumo

Esta atualização de segurança resolve vulnerabilidades no Microsoft Windows. A mais grave das vulnerabilidades pode permitir a execução remota de código se um invasor for capaz de executar um ataque man-in-the-middle (MiTM) em uma estação de trabalho ou servidor de impressão, ou configurar um servidor de impressão não autorizado em uma rede de destino.

Para saber mais sobre a vulnerabilidade, consulte o Boletim de Segurança da Microsoft MS16-087.

Mais Informações

Importante

Depois de instalar esta atualização de segurança, para implantar drivers de Apontar e Imprimir de servidores de impressão para clientes, você deve aplicar o seguinte pacote cumulativo de atualizações do Windows no servidor de impressora Windows 8.1 ou Windows Server 2012 R2:
3000850 Pacote cumulativo de atualizações de novembro de 2014 para Windows RT 8.1, Windows 8.1 e Windows Server 2012 R2
Todas as futuras atualizações de segurança e não relacionadas com segurança para o Windows RT 8.1, Windows 8.1 e Windows Server 2012 R2 necessitam da instalação de 2919355 de atualização. Recomendamos que instale o 2919355 de atualização no seu computador baseado no Windows RT 8.1, Windows 8.1 ou Windows Server 2012 R2 para receber atualizações futuras.
Se instalar um pacote de idiomas depois de instalar esta atualização, terá de reinstalar esta atualização. Por este motivo, recomendamos que instale todos os pacotes de idiomas de que necessita antes de instalar esta atualização. Para obter mais informações, consulte Adicionar pacotes de idiomas ao Windows.

Informações adicionais sobre esta atualização de segurança

Os artigos seguintes contêm informações adicionais sobre esta actualização de segurança no que diz respeito a versões individuais de produtos. Os artigos podem conter informações sobre problemas conhecidos.

3170455 MS16-087: Descrição da actualização de segurança para componentes do spooler de impressão do Windows: 12 de Julho de 2016
3163912 Atualização cumulativa para Windows 10: 12 de julho de 2016
3172985 Atualização cumulativa para Windows 10 Versão 1511 e Windows Server 2016 Technical Preview 4: 12 de julho de 2016

Problemas conhecidos

Se estiver a utilizar a impressão em rede no seu ambiente, poderá deparar-se com um dos seguintes problemas:

Você pode ser solicitado por um aviso sobre como instalar um driver de impressora ou o driver pode falhar ao instalar sem notificação depois de aplicar o MS16-087. Os sintomas aqui dependem do cenário específico.
Cenário 1 Para controladores de impressora v3 sem reconhecimento de pacotes, poderá ser apresentada a seguinte mensagem de aviso quando os utilizadores tentarem ligar-se a impressoras apontar e imprimir:

Cenário 2: Os controladores com reconhecimento de pacotes têm de ser assinados com um certificado fidedigno. O processo de verificação verifica se todos os arquivos incluídos no driver estão com hash no catálogo. Se essa verificação falhar, o controlador é considerado não fidedigno. Nessa situação, a instalação do driver é bloqueada e a seguinte mensagem de aviso é exibida:

Cenário 3 Para cenários não interativos (por exemplo, a impressora é instalada através de um script automatizado), quando o controlador de impressora corresponde aos critérios descritos no Cenário 1 ou no Cenário 2, a instalação da impressora falha e não é apresentada nenhuma mensagem de aviso.

Nestas situações, contacte o administrador de rede para obter um controlador atualizado do fabricante da impressora.

Orientações para administradores de rede:
- Atualize o controlador de impressora afetado. Drivers de impressora V3 com reconhecimento de pacote foram introduzidos no Windows Vista. A instalação de um controlador de impressora com reconhecimento de pacotes irá resolver o problema.
- Se uma determinada impressora herdada não tiver o driver de impressora apropriado disponível, a pré-instalação do driver de impressora problemático no sistema cliente resolverá o problema.
Para obter mais informações sobre estes cenários, consulte os seguintes recursos da Microsoft:
- Arquitetura dos Serviços de Impressão e Documentos
- Controladores de impressão com reconhecimento de pacotes
Depois de aplicar a actualização de segurança MS16-087 (KB 3170455) e tentar ligar a uma impressora com reconhecimento de pacotes fidedigna instalada num sistema com Windows 8.1 ou Windows Server 2012 R2, não é possível ligar à impressora.

Para resolver esse problema, aplique o seguinte pacote cumulativo de atualizações do Windows no servidor de impressora Windows 8.1 ou Windows Server 2012 R2:
3000850 Pacote cumulativo de atualizações de novembro de 2014 para Windows RT 8.1, Windows 8.1 e Windows Server 2012 R2

Atualização de outubro de 2016: Mitigação para problemas conhecidos

A Microsoft lançou uma atualização para outubro de 2016 que permite aos administradores de rede configurar políticas que permitem a instalação de controladores de impressão que consideram seguros. Esta atualização também permite que os administradores de rede implementem ligações de impressora que considerem seguras.

As atualizações estão contidas nos seguintes pacotes cumulativos.

Windows 10 RTM	KB 3192440
Windows 10 1511	KB 3192441
Windows 10 1607	KB 3194798
Windows 7 e Windows Server 2008 R2	KB 3192403
Windows Server 2012	KB 3192406
Windows 8.1 e Windows Server 2012 R2	KB 3192404

Configurar Política de Grupo para adicionar servidores de impressão à lista de permissões

Clique em Iniciare, em seguida, clique em Executar.
Digite gpedit.msc e, em seguida, clique em OK .
Expanda Configuração do Computador e, em seguida, expanda Modelos Administrativos.
Clique em Impressoras.
Faça duplo clique em Restrições de Apontar e Imprimir e, em seguida, selecione a opção Ativada.
Em Opções, marque a caixa de seleção Os usuários só podem apontar e imprimir para esses servidores e digite os nomes de servidores totalmente qualificados na caixa de texto, separados por ponto-e-vírgula.
Em Pedidos de segurança, defina-os da seguinte forma:
1. "Ao instalar controladores para uma nova ligação": "Mostrar aviso e aviso de elevação".
2. "Ao atualizar controladores para uma ligação existente": "Mostrar aviso e aviso de elevação".
Clique em Aplicar e, em seguida, em OK.
Na página Política de impressoras, clique duas vezes em Package Point and Print – Approved servers.
Selecione a opção Habilitado.
Em Opções, clique em Mostrar.
Escreva um nome de servidor completamente qualificado em cada linha.
Clique em OK.
Clique em Aplicar e, em seguida, clique em OK.
Se estiver a utilizar um cliente autónomo, reinicie o cliente e, em seguida, verifique se estas políticas estão em vigor.
Se utilizar políticas de domínio, envie as políticas para os clientes de domínio e, em seguida, verifique se estas políticas estão em vigor.

Nota Depois de activar estas políticas de grupo, terá de adicionar todos os servidores de impressora à lista Restrições de Apontar e Imprimir e à lista de servidores Compactar Apontar e Imprimir – Aprovado. Isso é verdade independentemente do conhecimento da embalagem.

Atualização de outubro de 2016: Perguntas Mais Frequentes

P: Devemos desinstalar a atualização anterior?
R: Não. A atualização anterior corrige a vulnerabilidade. A atualização de Outubro de 2016 fornece uma mitigação para permitir que os administradores de rede instalem controladores que considerem seguros.
P: Mesmo com a atualização de outubro de 2016 instalada e as políticas de grupo configuradas, a mensagem "Confia nesta impressora?" ainda é exibida quando tento instalar uma impressora local. Porquê?
R: Esta mitigação destina-se a impressoras de rede e não a impressoras locais, pelo que este comportamento é esperado.

Observação Se você receber a mensagem "Você confia nesta impressora", substitua o driver atual usando um driver confiável com reconhecimento de pacote ou instale os arquivos de driver no armazenamento de driver local antes de instalar a impressora local. Para obter mais informações, consulte a secção Orientação para administradores de rede .

Como obter e instalar a atualização

Método 1: Windows Update

Esta atualização está disponível através do Windows Update. Quando ativar a atualização automática, esta atualização será transferida e instalada automaticamente. Para obter mais informações sobre como ativar a atualização automática, consulte Obter atualizações de segurança automaticamente.

Nota Para o Windows RT 8.1, esta actualização está disponível apenas através Windows Update.

Método 2: Centro de Transferências da Microsoft

Pode obter o pacote de atualização autónomo através do Centro de Transferências da Microsoft. Siga as instruções de instalação na página de download para instalar a atualização.

Clique no link de download no Boletim de Segurança da Microsoft MS16-087 que corresponde à versão do Windows que você está executando.

Mais Informações

Informações sobre a implementação da atualização de segurança

Windows Vista (todas as edições) Tabela de referência