MS16-087: оновлення системи безпеки для компонентів спулера друку Windows: 12 липня 2016 р.

Застосовується до

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Повідомлення

Це оновлення системи безпеки було випущено повторно 12 вересня 2017 року для вирішення відомих проблем в оновленні 3170455 для CVE-2016-3238.

Корпорація Майкрософт випустила наведені нижче оновлення для підтримуваних версій Microsoft Windows. Докладні відомості див. в статті бази знань Microsoft:

Повторно випущено 3170455 оновлення для Windows Server 2008
Щомісячне зведене 4038779 4038777 і оновлення системи безпеки для Windows 7 і Windows Server 2008 R2
Щомісячне зведене 4038799 та оновлення системи безпеки 4038786 за Windows Server 2012 р.
Щомісячне 4038793 зведене 4038792 і оновлення системи безпеки для Windows 8.1 і Windows Server 2012 R2
Сукупний пакет оновлень 4038781 для Windows 10
Сукупний пакет оновлень 4038781 для Windows 10 версії 1511
Сукупний пакет оновлень 4038782 для Windows 10 версії 1607 і Windows Server 2016

Корпорація Майкрософт рекомендує користувачам, які використовують Windows Server 2008, повторно інсталювати оновлення 3170455. Корпорація Майкрософт рекомендує користувачам, які використовують інші підтримувані версії Windows, інсталювати відповідне оновлення. Докладні відомості див. в статті бази знань Microsoft 3170455.

Інші зміни, включені в повторне видання MS16-087

додано журналювання подій, яке допомагає визначити причини помилок інсталяції драйвера принтера.

Раніше єдиним способом для клієнта дізнатися, чому драйвер не пройшов нові перевірки обмежень, які були впроваджені в рамках MS16-087, був збір журналів для друку etw, а потім відправка в корпорацію Майкрософт для аналізу.

Ми додали функцію запису причин неполадок до реєстратора подій, щоб користувачі могли самостійно дослідити основні причини неполадок драйверів.

Відомості, які записуватимуться:

1. Якщо драйвер не знає пакета або не підписаний належним чином, до журналу записується таке повідомлення:

MSG_CSRSPL_UNTRUSTED_DRIVER: "Спулер друку не зміг завантажити пакет для driver <driverName>. Код < помилки= errorCodeFromListBelow>. Блокування водія, оскільки можливе потенційне втручання».

2. Якщо драйверу не вдалося перевірити підпис за допомогою наданого каталогу, до журналу буде записано таке повідомлення:

VALIDATEDRVINFO_FAILED: "У VALIDATINGDRVINFO не вдалося додати драйвер < принтера driverName>, код помилки <errorCodeFromListBelow>.

Можливі коди помилок:

Код товару	Значення
0x800F0243L	Видавець ненадійний
0x800F024BL	Геш відсутній у каталозі
0x800F022FL	Немає каталогу для OEM INF
0x800F023FL	Немає каталогу автентифікації
0x800F0240L	Authenticode заборонено
0x800F0249L	Загальне повідомлення "Драйвер інсталяції заблоковано"

Зведення

Це оновлення системи безпеки усуває вразливості в Microsoft Windows. Більш серйозна вразливість може дозволити віддалене виконання коду, якщо зловмисник зможе виконати атаку "людина посередині" (MiTM) на робочу станцію чи сервер друку або налаштувати шахрайський сервер друку в цільовій мережі.

Докладні відомості про вразливості див. у бюлетені безпеки Microsoft MS16-087.

Додаткові відомості

Важливо

Щоб розгорнути драйвери вказування та друку із серверів друку на клієнтах після інсталяції цього оновлення, необхідно застосувати наведене нижче зведення оновлень Windows на принтерському сервері Windows 8.1 або Windows Server 2012 R2:
3000850 листопад 2014 р. для Windows RT 8.1, Windows 8.1 і Windows Server 2012 R2
Усі майбутні оновлення системи безпеки та інші оновлення для Windows RT 8.1, Windows 8.1 і Windows Server 2012 R2 вимагають інсталяції оновлен 2919355 ь. Щоб отримувати майбутні оновлення, радимо інсталювати 2919355 оновлень на комп'ютері Windows RT базі Windows 8.1, .1 або Windows Server 2012 R2.
Якщо після інсталяції цього оновлення ви встановили мовний пакет, потрібно повторно інсталювати це оновлення. Тому ми рекомендуємо встановити всі необхідні мовні пакети, перш ніж інсталювати це оновлення. Докладнішу інформацію див. у розділі Додавання мовних пакетів до Windows.

Додаткові відомості про це оновлення системи безпеки

Наведені нижче статті містять додаткові відомості про це оновлення системи безпеки, яке стосується окремих версій продукту. Ці статті можуть містити відомості про відому проблему.

3170455 MS16-087: Опис оновлення системи безпеки для компонентів спулера друку Windows: 12 липня 2016 р.
3163912 Сукупне оновлення за Windows 10 року: 12 липня 2016 р.
3172985 Сукупне оновлення для Windows 10 версії 1511 і Windows Server 2016 Technical Preview 4: 12 липня 2016 р.

Відомі проблеми

Якщо у вашому середовищі використовується мережевий друк, може виникнути одна з таких проблем:

Попередження про інсталяцію драйвера принтера може з'явитися, або драйвер може не інсталюватися без сповіщення після застосування MS16-087. Симптоми тут залежать від конкретного сценарію.
Сценарій 1. Якщо драйвери принтерів v3 не підтримують пакети, може відображатися таке попереджувальне повідомлення, коли користувачі намагаються підключитися до принтерів із технологією вказування та друку:

Сценарій 2. Драйвери з пакетами мають бути підписані надійним сертифікатом. Під час перевірки перевіряється, чи всі файли, включені до драйвера, хешовано в каталозі. Якщо таку перевірку не вдасться, драйвер вважається ненадійним. У цій ситуації інсталяція драйвера блокується та відображається таке попереджувальне повідомлення:

Сценарій 3 У неінтерактивних сценаріях (наприклад, принтер інстальовано за допомогою автоматизованого сценарію), коли драйвер принтера відповідає умовам, описаним у сценарії 1 або 2, інсталяція принтера завершується помилкою та не відображається повідомлення з попередженням.

У таких ситуаціях зверніться до адміністратора мережі, щоб отримати оновлений драйвер від виробника принтера.

Рекомендації для адміністраторів мережі.
- Оновіть драйвер відповідного принтера. У Windows Vista з'явилися пакетні драйвери принтера V3. Щоб вирішити цю проблему, інсталюйте пакетний драйвер принтера.
- Якщо певний застарілий принтер не має відповідного драйвера принтера, проблему можна вирішити, попередньо інсталювавши проблемний драйвер принтера в клієнтській системі.
Докладні відомості про ці сценарії див. в таких ресурсах Microsoft:
- Архітектура служб друку та документів
- Пакетні драйвери друку
Після застосування оновлення системи безпеки MS16-087 (KB 3170455) і підключення до надійного пакетного принтера, інстальованого в системі під керуванням Windows 8.1 або Windows Server 2012 R2, підключитися до принтера не вдасться.

Щоб вирішити цю проблему, застосуйте це зведене оновлення Windows до принтера Windows 8.1 або Windows Server 2012 R2:
3000850 листопад 2014 р. для Windows RT 8.1, Windows 8.1 і Windows Server 2012 R2

Оновлення за жовтень 2016 р.: захист від відомих проблем

Корпорація Майкрософт випустила оновлення за жовтень 2016 р., яке дає змогу адміністраторам мережі настроювати політики та дозволити інсталяцію драйверів друку, які вони вважають безпечними. Це оновлення також дає змогу адміністраторам мережі розгортати підключення принтерів, які вони вважають безпечними.

Оновлення містяться в наведених нижче пакетах зведення.

Windows 10Windows 10 RTM	3192440 бази знань
Windows 10Windows 10 1511	3192441 бази знань
Windows 10Windows 10 1607	3194798 бази знань
Windows 7 і Windows Server 2008 R2	3192403 бази знань
Windows Server 2012	3192406 статті бази знань
Windows 8.1 і Windows Server 2012 R2	3192404 бази знань

Configuring Group PolicyГрупова політика to add print servers to allowed list

Натисніть кнопку Пуск, а потім виберіть команду Виконати.
Введіть gpedit.msc і натисніть кнопку OK.
Розгорніть елементи "Конфігурація комп'ютера", а потім – "Адміністративні шаблони".
Виберіть пункт "Принтери".
Двічі клацніть елемент "Обмеження вказування та друку" та виберіть параметр "Увімкнуто".
У розділі "Параметри" встановіть прапорець Користувачі можуть лише вказувати на ці сервери та друкувати їх, а потім введіть повні імена серверів у текстовому полі, розділяючи їх крапкою з комою.
У розділі Security PromptsПідказки встановіть їх у такий спосіб:
1. "Під час встановлення драйверів для нового підключення": "Показати попередження та запит на підвищення рівня".
2. "Під час оновлення драйверів для наявного підключення": "Показати попередження та запит на підвищення рівня".
Натисніть кнопку "Застосувати", а потім – кнопку "OK".
На сторінці політики принтерів двічі клацніть пункт "Пункт пакета" та "Друк" – Затверджені сервери.
Виберіть параметр "Увімкнуто".
У розділі "Параметри" натисніть кнопку "Показати".
Введіть одне повне ім'я сервера в кожному рядку.
Натисніть кнопку OK.
Натисніть кнопку Застосувати, а потім – OK.
Якщо ви використовуєте автономний клієнт, перезавантажте клієнт і переконайтеся, що ці політики діють.
Якщо ви використовуєте політики домену, надішліть їх клієнтам домену, а потім переконайтеся, що вони діють.

Примітка. Після ввімкнення цих групових політик потрібно додати всі принтерські сервери до списку обмежень вказування та друку та списку затверджених серверів упакування та друку. Це стосується незалежно від поінформованості про упаковку.

Оновлення за жовтень 2016 р.: запитання й відповіді

Запитання. Чи потрібно видалити попереднє оновлення?
Відповідь. Ні. Попереднє оновлення усуває вразливість. В оновленні за жовтень 2016 р. внесено заходів щодо послаблення ризиків, щоб адміністратори мережі могли інсталювати драйвери, які вони вважають безпечними.
П. Навіть якщо інстальовано оновлення за жовтень 2016 р. та налаштовано групові політики, під час спроби встановити локальний принтер усе одно відображається повідомлення "Чи довіряєш цей принтер?". Чому так?
Відповідь. Це зниження ризику націлене на мережеві принтери, а не на локальні, тому це очікувана поведінка.

Примітка. Якщо з'явиться повідомлення "Чи довіряєте цей принтер?", замініть наявний драйвер на надійний пакетний драйвер або інсталюйте файли драйвера в локальне сховище драйверів, перш ніж інсталювати локальний принтер. Докладні відомості див. в розділі "Рекомендації для адміністраторів мережі ".

Як отримати та інсталювати оновлення

Спосіб 1: Windows Update

Це оновлення доступне через Windows Update. Якщо ввімкнути автоматичне оновлення, це оновлення завантажиться й інсталюється автоматично. Докладні відомості про ввімкнення автоматичного оновлення див. в статті "Автоматичне отримання оновлень системи безпеки".

Примітка Для Windows RT 8.1 це оновлення доступне лише через Windows Update.

Метод 2. Центр завантажень Microsoft

Автономний пакет оновлень можна отримати в Центрі завантажень Microsoft. Щоб інсталювати оновлення, дотримуйтеся вказівок з інсталяції на сторінці завантаження.

Клацніть посилання для завантаження в бюлетені безпеки Microsoft MS16-087 відповідно до версії ОС Windows, інстальованої на комп'ютері.

Додаткові відомості

Відомості про розгортання оновлення системи безпеки

Windows Vista (усі випуски) Reference table