MS16-087: Varnostna posodobitev za komponente tiskovalnika v ozadju sistema Windows: julij 12, 2016

Velja za

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Obvestilo

Ta varnostna posodobitev je bila znova izdana 12. septembra 2017, da bi odpravila znane težave v posodobitvi 3170455 za CVE-2016-3238.

Microsoft je dal na voljo naslednje posodobitve za trenutno podprte različice sistema Microsoft Windows. Če želite več informacij, preberite ta članek iz Microsoftove zbirke znanja:

Ponovno izdana posodobitev 3170455 za Windows Server 2008
Mesečni paket posodobitev 4038777 in 4038779 varnostnih posodobitev za Windows 7 in Windows Server 2008 R2
Mesečni paket posodobitev 4038799 in 4038786 varnostnih posodobitev za Windows Server 2012
Mesečni paket posodobitev 4038792 in varnostne posodobitve 4038793 za Windows 8.1 in Windows Server 2012 R2
Zbirna 4038781 posodobitev za Windows 10
Zbirna 4038781 posodobitev za različico 1511 Windows 10
Zbirna 4038782 posodobitev za različico 1607 Windows 10 in Windows Server 2016

Microsoft priporoča, da stranke, ki uporabljajo Windows Server 2008, znova namestijo posodobitev 3170455. Microsoft priporoča, da uporabniki, ki uporabljajo druge podprte različice sistema Windows, namestijo ustrezno posodobitev. Če želite več informacij, obiščite članek Microsoftove zbirke znanja 3170455.

Druge spremembe, ki so vključene v vnovično izdajo MS16-087

Dodano beleženje dogodkov za lažje ugotavljanje vzroka napak pri namestitvi gonilnika tiskalnika

Prej je bil edini način, da je stranka vedela, zakaj gonilnik ni opravil novih preverjanj omejitev, ki so bila izvedena kot del MS16-087, zbiranje dnevnikov tiskanje etw in nato pošiljanje Microsoftu v analizo.

Dodali smo funkcijo za beleženje vzroka napak v zapisovalniku dogodkov, tako da lahko stranke same raziščejo osnovni vzrok napak gonilnikov.

Informacije, ki bodo zabeležene:

1. Če gonilnik ne pozna paketov ali ni pravilno podpisan, se zabeleži to sporočilo:

MSG_CSRSPL_UNTRUSTED_DRIVER: »Tiskalniku v ozadju ni uspelo prenesti paketa za < driver driverName>. Koda napake = <errorCodeFromListBelow>. Blokiranje voznika, saj bi lahko obstajala možnost morebitnega poseganja."

2. Če gonilnik ne uspe preveriti veljavnosti podpisa s priloženim katalogom, se zabeleži to sporočilo:

VALIDATEDRVINFO_FAILED: »V VALIDATINGDRVINFO dodajanje gonilnika tiskalnika>< ni uspelo, koda < napake errorCodeFromListBelow>.

Možne kode napak:

Šifra	Pomen
0x800F0243L	Založnik ni zaupanja vreden
0x800F024BL	Hash ni v katalogu
0x800F022FL	Ni kataloga za OEM INF
0x800F023FL	Brez avtentičnega kataloga
0x800F0240L	Avtentična oda ni dovoljena
0x800F0249L	Splošno »Namestitev gonilnika blokirana«

Povzetek

Ta varnostna posodobitev odpravlja ranljivosti v sistemu Microsoft Windows. Resnejše ranljivosti lahko omogočijo oddaljeno izvajanje kode, če napadalec lahko izvede napad MiTM na delovno postajo ali tiskalniški strežnik ali nastavi nepooblaščeni tiskalniški strežnik v ciljnem omrežju.

Če želite izvedeti več o ranljivosti, glejte Microsoftov varnostni bilten MS16-087.

Več informacij

Pomembno

Če želite po namestitvi te varnostne posodobitve namestiti gonilnike za prikazovanje in tiskalno tiskalništvo iz tiskalniških strežnikov v odjemalce, morate v tiskalniškem strežniku Windows 8.1 ali Windows Server 2012 R2 uporabiti ta paket posodobitev sistema Windows:
3000850 november 2014 paket posodobitev za Windows RT 8.1, Windows 8.1 in Windows Server 2012 R2
Za vse prihodnje varnostne posodobitve in posodobitve, ki niso varnostne za Windows RT 8.1, Windows 8.1 in Windows Server 2012 R2, je treba namestiti 2919355 posodobitev. Priporočamo, da namestite 2919355 posodobitev v računalnik Windows RT 8.1, Windows 8.1 ali Windows Server 2012 R2, da boste lahko prejemali prihodnje posodobitve.
Če po namestitvi te posodobitve namestite jezikovni paket, morate znova namestiti to posodobitev. Zato priporočamo, da pred namestitvijo te posodobitve namestite vse jezikovne pakete, ki jih potrebujete. Če želite več informacij, glejte Dodajanje jezikovnih paketov v sistem Windows.

Dodatne informacije o tej varnostni posodobitvi

V spodnjih člankih so dodatne informacije o tej varnostni posodobitvi, ki se nanašajo na posamezne različice izdelkov. Članki lahko vsebujejo znane informacije o težavah.

3170455 MS16-087: opis varnostne posodobitve za komponente tiskovalnika v ozadju sistema Windows: julij 12, 2016
3163912 Zbirna posodobitev za Windows 10: 12. julij 2016
3172985 Zbirna posodobitev za Windows 10 različico 1511 in Windows Server 2016 Technical Preview 4: julij 12, 2016

Znane težave

Če v svojem okolju uporabljate omrežno tiskanje, lahko pride do ene od teh težav:

Morda boste pozvani z opozorilom o namestitvi gonilnika tiskalnika ali pa gonilnika ne bo mogoče namestiti brez obvestila, ko uporabite MS16-087. Simptomi so odvisni od specifičnega scenarija.
1. scenarij Pri gonilnikih tiskalnikov v3, ki ne upoštevajo paketov, se lahko prikaže to opozorilo, ko uporabniki poskušajo vzpostaviti povezavo s tiskalniki »pokaži in tiskaj«:

2. scenarij: Gonilniki, ki upoštevajo pakete, morajo biti podpisani z zaupanja vrednim potrdilom. Postopek preverjanja preveri, ali so vse datoteke, ki so vključene v gonilnik, zgoščene v katalogu. Če preverjanje ne uspe, se šteje, da voznik ni zanesljiv. V tem primeru je namestitev gonilnika blokirana in prikaže se to opozorilo:

Scenarij 3 V primeru neinteraktivnih scenarijev (tiskalnik je na primer nameščen prek samodejnega skripta) namestitev tiskalnika ne uspe in se ne prikaže opozorilno sporočilo.

V takih primerih se obrnite na skrbnika omrežja in pridobite posodobljen gonilnik od izdelovalca tiskalnika.

Navodila za skrbnike omrežja:
- Posodobite gonilnik tiskalnika, na katerega to vpliva. Gonilniki tiskalnika V3, ki upoštevajo pakete, so bili uvedeni v sistemu Windows Vista. Težavo odpravite z namestitvijo gonilnika tiskalnika, ki upošteva pakete.
- Če za določen podedovani tiskalnik ni na voljo ustrezen gonilnik tiskalnika, boste težavo odpravili z vnaprejšnjo namestitvijo problematičnega gonilnika tiskalnika v odjemalski sistem.
Če želite več informacij o teh scenarijih, glejte te Microsoftove vire:
- Arhitektura storitev za tiskanje in dokumente
- Gonilniki tiskalnika, ki upoštevajo pakete
Ko uporabite varnostno posodobitev MS16-087 (KB 3170455) in poskusite vzpostaviti povezavo z zaupanja vrednim tiskalnikom, ki podpira pakete, ki je nameščen v sistemu s sistemom Windows 8.1 ali Windows Server 2012 R2, ne morete vzpostaviti povezave s tiskalnikom.

Če želite odpraviti to težavo, uporabite ta paket posodobitev sistema Windows v tiskalniškem strežniku Windows 8.1 ali Windows Server 2012 R2:
3000850 november 2014 paket posodobitev za Windows RT 8.1, Windows 8.1 in Windows Server 2012 R2

Posodobitev za oktober 2016: ublažitev znanih težav

Microsoft je izdal posodobitev za oktober 2016, ki skrbnikom omrežja omogoča konfiguracijo pravilnikov, ki omogočajo namestitev gonilnikov tiskalnikov, za katere menijo, da so varni. Ta posodobitev skrbnikom omrežja omogoča tudi uvajanje povezav tiskalnikov, ki se jim zdijo varne.

Posodobitve so vsebovane v naslednjih paketih paketov.

Windows 10 RTM	KB 3192440
Windows 10 1511	KB 3192441
Windows 10 1607	KB 3194798
Windows 7 in Windows Server 2008 R2	KB 3192403
Windows Server 2012	KB 3192406
Windows 8.1 in Windows Server 2012 R2	KB 3192404

Konfiguriranje pravilnik skupine za dodajanje tiskalniških strežnikov na seznam dovoljenih

Kliknite Start in nato Zaženi.
Vnesite »gpedit.msc« in kliknite »V redu«.
Razširite konfiguracijo računalnika in nato razširite skrbniške predloge.
Kliknite »Tiskalniki«.
Dvokliknite Omejitve pokaži in natisni, nato pa izberite možnost »Omogočeno«.
V razdelku »Možnosti« potrdite potrditveno polje »Uporabniki lahko kažejo in tiskajo na te strežnike« in nato v polje z besedilom vnesite popolnoma določena imena strežnikov, ločena s podpičji.
V razdelku Varnostni Pozivi jih nastavite tako:
1. »Pri nameščanju gonilnikov za novo povezavo«: »Pokaži opozorilo in poziv za prehod«.
2. »Pri posodabljanju gonilnikov za obstoječo povezavo«: »Pokaži opozorilo in poziv za prehod«.
Kliknite »Uporabi« in nato »V redu«.
Na strani s pravilnikom tiskalnikov dvokliknite »Paket Pokaži in natisni – odobreni strežniki«.
Izberite možnost »Omogočeno«.
V razdelku »Možnosti« kliknite »Pokaži«.
V vsako vrstico vnesite eno popolnoma določeno ime strežnika.
Kliknite »V redu«.
Kliknite Uporabi in nato V redu.
Če uporabljate samostojnega odjemalca, znova zaženite odjemalca in nato preverite, ali so ti pravilniki v veljavi.
Če uporabljate pravilnike domene, potisnite pravilnike v odjemalce domen in nato preverite, ali so ti pravilniki uveljavljeni.

Opomba Ko omogočite te pravilnike skupine, morate dodati vse tiskalniške strežnike na seznam omejitev »Pokaži in natisni« ter »Pokaži paket« in »Natisni – odobreni strežniki«. To velja ne glede na ozaveščenost o paketu.

Pogosta vprašanja o posodobitvi iz oktobra 2016

V: Ali naj odstranimo prejšnjo posodobitev?
O: Ne. Prejšnja posodobitev odpravlja ranljivost. Posodobitev iz oktobra 2016 zagotavlja ublažitev, s katero lahko skrbniki omrežij namestijo gonilnike, za katere menijo, da so varni.
V: Tudi če je nameščena posodobitev iz oktobra 2016 in so konfigurirani pravilniki skupine, se sporočilo »Ali zaupate temu tiskalniku« še vedno prikaže, ko poskusim namestiti lokalni tiskalnik. Zakaj je tako?
O: Ta ublažitev cilja na omrežne tiskalnike in ne na lokalne tiskalnike, zato je to vedenje pričakovano.

Opomba Če se prikaže sporočilo »Ali zaupate temu tiskalniku«, zamenjajte trenutni gonilnik z zaupanja vrednim gonilnikom, ki podpira pakete, ali namestite datoteke gonilnikov v lokalno shrambo gonilnikov, preden namestite lokalni tiskalnik. Če želite več informacij, glejte razdelek »Navodila za skrbnike omrežja« .

Kako pridobiti in namestiti posodobitev

1. način: Windows Update

Ta posodobitev je na voljo prek storitve Windows Update. Ko vklopite samodejno posodabljanje, se ta posodobitev samodejno prenese in namesti. Če želite več informacij o tem, kako vklopite samodejno posodabljanje, glejte Samodejno pridobivanje varnostnih posodobitev.

Opomba Za Windows RT 8.1 je ta posodobitev na voljo le prek storitve Windows Update.

2. način: Microsoftov center za prenose

Samostojni paket posodobitev lahko dobite prek Microsoftovega centra za prenose. Če želite namestiti posodobitev, sledite navodilom za namestitev na strani za prenos.

Kliknite povezavo za prenos v Microsoftovem varnostnem biltenu MS16-087 , ki se ujema z različico sistema Windows, ki jo uporabljate.

Več informacij

Informacije o uvajanju varnostnih posodobitev

Windows Vista (vse izdaje) Referenčna tabela