MS16-087: Aktualizácia zabezpečenia pre súčasť zaraďovača tlače Windowsu: 12. júla 2016

Vzťahuje sa na

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Upozornenie

Táto aktualizácia zabezpečenia bola opätovne vydaná 12. septembra 2017 s cieľom vyriešiť známe problémy v 3170455 aktualizácie CVE-2016-3238.

Spoločnosť Microsoft poskytla nasledujúce aktualizácie pre aktuálne podporované verzie systému Microsoft Windows. Ďalšie informácie nájdete v nasledujúcom článku databázy Microsoft Knowledge Base:

Opätovne vydaný 3170455 aktualizácie pre Windows Server 2008
Mesačná súhrnná 4038777 a 4038779 aktualizácií zabezpečenia pre Windows 7 a Windows Server 2008 R2
Mesačná súhrnná 4038799 a 4038786 aktualizácií zabezpečenia pre Windows Server 2012
Mesačná súhrnná 4038792 a 4038793 aktualizácií zabezpečenia pre Windows 8.1 a Windows Server 2012 R2
Kumulatívny 4038781 aktualizácie pre Windows 10
Kumulatívny 4038781 aktualizácie pre Windows 10 verzie 1511
Kumulatívny 4038782 aktualizácie pre Windows 10 verzie 1607 a Windows Server 2016

Spoločnosť Microsoft odporúča zákazníkom, ktorí používajú Windows Server 2008, preinštalovali aktualizáciu 3170455. Spoločnosť Microsoft odporúča, aby si zákazníci s inými podporovanými verziami Windowsu nainštalovali príslušnú aktualizáciu. Ďalšie informácie nájdete v článku databázy Microsoft Knowledge Base 3170455.

Ďalšie zmeny zahrnuté v opätovnom vydaní aktualizácie MS16-087

Pridanie zapisovania udalostí do denníka, ktoré pomáha určiť príčinu chýb inštalácie ovládača tlačiarne

V minulosti bolo jediným spôsobom, ako sa zákazník dozvedieť, prečo ovládač neprešiel novými kontrolami obmedzení, ktoré boli implementované v rámci aktualizácie MS16-087, zhromaždiť denníky tlače trasovania udalostí a potom ich odoslať spoločnosti Microsoft na analýzu.

Pridali sme funkciu na zaznamenávanie príčin chýb do denníka udalostí, aby zákazníci mohli sami preskúmať hlavnú príčinu chýb ovládačov.

Informácie, ktoré sa zapíšu:

1. Ak ovládač nerozpoznáva balík alebo nie je správne podpísaný, zapíše sa do denníka toto hlásenie:

MSG_CSRSPL_UNTRUSTED_DRIVER: Zaraďovaču tlače sa nepodarilo stiahnuť balík pre názov> ovládača<. Error code= <errorCodeFromListBelow>. Blokovanie ovládača, pretože by mohla existovať možnosť potenciálnej manipulácie."

2. Ak ovládač neuspeje overiť podpis pomocou poskytnutého katalógu, zaznamená sa toto hlásenie:

VALIDATEDRVINFO_FAILED: "In VALIDATINGDRVINFO, Adding printer driver <driverName> failed, error< code errorCodeFromListBelow>.

Kódy možných chýb:

Kód	Význam
0x800F0243L	Vydavateľ nie je dôveryhodný
0x800F024BL	Hodnota hash nie je v katalógu
0x800F022FL	Žiadny katalóg pre OEM INF
0x800F023FL	Žiadny katalóg authenticode
0x800F0240L	Authenticode zablokované
0x800F0249L	Všeobecná verzia Inštalácia ovládača je zablokovaná

Súhrn

Táto aktualizácia zabezpečenia rieši zraniteľnosti v systéme Microsoft Windows. Najzávažnejšie zraniteľnosti môžu umožniť spúšťanie kódu na diaľku v prípade, že útočník dokáže vykonať útok typu man-in-the-middle (MiTM) na pracovnej stanici alebo tlačovom serveri, prípadne nastaviť škodlivý tlačový server v cieľovej sieti.

Ďalšie informácie o tomto ohrození nájdete v bulletine o zabezpečení spoločnosti Microsoft MS16-087.

Ďalšie informácie

Dôležité

Ak chcete po nainštalovaní tejto aktualizácie zabezpečenia nasadiť ovládače funkcie Ukázať a tlačiť z tlačových serverov pre klientov, musíte na tlačiarňový server systému Windows 8.1 alebo Windows Server 2012 R2 použiť nasledujúcu súhrnnú aktualizáciu služby Windows:
3000850 súhrnnú aktualizáciu z novembra 2014 pre Windows RT 8.1, Windows 8.1 a Windows Server 2012 R2
Všetky budúce aktualizácie zabezpečenia a aktualizácie netýkajúce sa zabezpečenia pre Windows RT 8.1, Windows 8.1 a Windows Server 2012 R2 vyžadujú inštaláciu 2919355 aktualizácie. Odporúčame vám nainštalovať aktualizačné 2919355 do počítača s procesorom Windows RT 8.1, Windows 8.1 alebo Windows Server 2012 R2, aby ste mohli dostávať budúce aktualizácie.
Ak po nainštalovaní tejto aktualizácie nainštalujete jazykový balík, musíte túto aktualizáciu znova nainštalovať. Preto odporúčame pred inštaláciou tejto aktualizácie nainštalovať všetky jazykové balíky, ktoré potrebujete. Ďalšie informácie nájdete v téme Pridanie jazykových balíkov do systému Windows.

Ďalšie informácie o tejto aktualizácii zabezpečenia

V nasledujúcich článkoch nájdete ďalšie informácie o tejto aktualizácii zabezpečenia týkajúce sa jednotlivých verzií produktov. Články môžu obsahovať informácie o známych problémoch.

3170455 MS16-087: popis aktualizácie zabezpečenia pre súčasť zaraďovača tlače Windowsu: 12. júl 2016
3163912 Kumulatívna aktualizácia pre Windows 10: 12. júla 2016
3172985 Kumulatívna aktualizácia pre Windows 10 verziu 1511 a Windows Server 2016 Technical Preview 4: 12. júla 2016

Známe problémy

Ak vo svojom prostredí používate sieťovú tlač, môže sa vyskytnúť niektorý z týchto problémov:

Môže sa zobraziť upozornenie o inštalácii ovládača tlačiarne alebo inštalácia ovládača môže zlyhať bez oznámenia po použití aktualizácie MS16-087. Príznaky tu závisia od konkrétneho scenára.
Scenár 1: V prípade ovládačov tlačiarní v3, ktoré nepodporujú balíky, sa pri pokuse používateľov o pripojenie k tlačiarňam typu Ukázať a tlačiť môže zobraziť nasledujúce upozornenie:

Scenár 2: Ovládače podporujúce balík musia byť podpísané dôveryhodným certifikátom. Proces overovania skontroluje, či sú všetky súbory zahrnuté v ovládači v katalógu hashované. Ak toto overenie zlyhá, ovládač sa považuje za nedôveryhodného. V tomto prípade je inštalácia ovládača zablokovaná a zobrazí sa nasledujúce upozorňujúce hlásenie:

Scenár č. 3 Keď v prípade neinteraktívnych scenárov (napríklad inštalácia tlačiarne prostredníctvom automatizovaného skriptu) ovládač tlačiarne spĺňa kritériá popísané v scenári 1 alebo scenári 2, inštalácia tlačiarne zlyhá a nezobrazí sa žiadne upozornenie.

V takom prípade kontaktujte správcu siete a požiadajte ho o aktualizovaný ovládač od výrobcu tlačiarne.

Pokyny pre správcov sietí:
- Aktualizujte príslušný ovládač tlačiarne. Ovládače tlačiarní V3 s podporou balíka boli zavedené vo Windowse Vista. Problém vyriešite inštaláciou ovládača tlačiarne podporujúceho balík.
- Ak konkrétna staršia tlačiareň nemá k dispozícii príslušný ovládač tlačiarne, problém sa vyrieši predinštalovaním problematického ovládača tlačiarne v klientskom systéme.
Ďalšie informácie o týchto scenároch nájdete v nasledujúcich zdrojoch informácií spoločnosti Microsoft:
- Architektúra tlače a dokumentov
- Ovládače tlače podporujúce balíky
Po použití aktualizácie zabezpečenia MS16-087 (KB 3170455) a pokuse o pripojenie k dôveryhodnej tlačiarni podporujúcej balíky, ktorá je nainštalovaná v systéme so systémom Windows 8.1 alebo Windows Server 2012 R2, sa k tlačiarni nemôžete pripojiť.

Ak chcete vyriešiť tento problém, použite nasledujúcu súhrnnú aktualizáciu služby Windows Update na tlačiarňový server Windows 8.1 alebo Windows Server 2012 R2:
3000850 súhrnnú aktualizáciu z novembra 2014 pre Windows RT 8.1, Windows 8.1 a Windows Server 2012 R2

Aktualizácia z októbra 2016: Zmiernenie známych problémov

Spoločnosť Microsoft vydala aktualizáciu z októbra 2016, ktorá umožňuje správcom sietí nakonfigurovať politiky, na základe ktorých sa povolí inštalácia ovládačov tlače, ktoré považujú za bezpečné. Táto aktualizácia tiež umožňuje správcom siete nasadiť pripojenie tlačiarne, ktoré považujú za bezpečné.

Aktualizácie sú obsiahnuté v nasledujúcich súhrnných balíkoch.

Windows 10 RTM	3192440 KB
Windows 10 1511	3192441 KB
Windows 10 1607	KB 3194798
Windows 7 a Windows Server 2008 R2	KB 3192403
Windows Server 2012	KB 3192406
Windows 8.1 a Windows Server 2012 R2	KB 3192404

Konfigurácia skupinovej politiky na pridanie tlačových serverov do zoznamu povolených serverov

Kliknite na tlačidlo Štart a potom na položku Spustiť.
Zadajte reťazec gpedit.msc a potom kliknite na tlačidlo OK.
Rozbaľte položku Konfigurácia počítača a potom rozbaľte položku Šablóny na správu.
Kliknite na položku Tlačiarne.
Dvakrát kliknite na položku Obmedzenia smerovania a tlače a potom vyberte možnosť Povolené.
V časti Možnosti začiarknite políčko Používatelia môžu ukazovať iba na tieto servery a tlačiť na tieto servery a potom do textového poľa zadajte úplné názvy serverov oddelené bodkočiarkami.
V časti Príkazy zabezpečenia ich nastavte takto:
1. "Pri inštalácii ovládačov pre nové pripojenie": "Zobraziť upozornenie a výzvu na nadmorskú výšku".
2. "Pri aktualizácii ovládačov pre existujúce pripojenie": "Zobraziť upozornenie a výzvu na nadmorskú výšku".
Kliknite na tlačidlo Použiť a potom na tlačidlo OK.
Na stránke Politika tlačiarní dvakrát kliknite na položku Balík Ukázať a tlačiť – schválené servery.
Vyberte možnosť Povolené.
V časti Možnosti kliknite na položku Zobraziť.
Do každého riadka zadajte jeden úplný názov servera.
Kliknite na tlačidlo OK.
Kliknite na tlačidlo Použiť a potom na tlačidlo OK.
Ak používate samostatného klienta, reštartujte klienta a overte, či sú tieto politiky platné.
Ak používate politiky domény, odovzdajte ich klientom domény a overte, či sú tieto politiky platné.

Poznámka: Po povolení týchto skupinových politík je potrebné pridať všetky tlačiarňové servery do zoznamu obmedzení bodov a tlače a do zoznamu Balík, Ukázať a tlačiť – schválený server. Toto platí bez ohľadu na vedomosti o balíku.

Aktualizácia z októbra 2016: najčastejšie otázky

Otázka: Mali by sme odinštalovať predchádzajúcu aktualizáciu?
Odpoveď: Nie. Predchádzajúca aktualizácia opravuje toto zraniteľnosť. Aktualizácia z októbra 2016 poskytuje správcom sietí možnosť nainštalovať ovládače, ktoré považujú za bezpečné.
Otázka: Aj keď je nainštalovaná aktualizácia z októbra 2016 a nakonfigurovaná skupinová politika, pri pokuse o inštaláciu lokálnej tlačiarne sa stále zobrazuje hlásenie "Dôverujete tejto tlačiarni". Prečo?
Odpoveď: Toto zmiernenie sa zameriava na sieťové tlačiarne, nie na lokálne tlačiarne, takže toto správanie je očakávané.

Poznámka: Ak sa zobrazí hlásenie Dôverujete tejto tlačiarni, nahraďte súčasný ovládač dôveryhodným ovládačom podporujúcim balík alebo pred inštaláciou lokálnej tlačiarne nainštalujte súbory ovládačov do lokálneho ukladacieho priestoru ovládačov. Ďalšie informácie nájdete v časti Pokyny pre správcov sietí .

Ako získať a nainštalovať aktualizáciu

Spôsob 1: Windows Update

Táto aktualizácia je k dispozícii prostredníctvom služby Windows Update. Keď zapnete automatickú aktualizáciu, táto aktualizácia sa stiahne a nainštaluje automaticky. Ďalšie informácie o tom, ako zapnúť automatické aktualizácie, nájdete v téme Získavať aktualizácie zabezpečenia automaticky.

Poznámka V prípade systému Windows RT 8.1 je táto aktualizácia k dispozícii iba prostredníctvom služby Windows Update.

Postup 2: Centrum sťahovania softvéru spoločnosti Microsoft

Samostatný balík aktualizácie môžete získať z Centra sťahovania softvéru. Podľa pokynov na inštaláciu nainštalovanej aktualizácie na stránke sťahovania.

V bulletine o zabezpečení od spoločnosti Microsoft MS16-087 kliknite na prepojenie na stiahnutie, ktorý zodpovedá verzii systému Windows, ktorú používate.

Ďalšie informácie

Informácie o nasadení aktualizácie zabezpečenia

Referenčná tabuľka systému Windows Vista (všetky vydania)