MS16-087: Bản cập nhật bảo mật cho Windows các cấu phần bộ đệm in: Ngày 12 tháng 7 năm 2016

Áp dụng cho

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Thông báo

Bản cập nhật bảo mật này được phát hành lại vào ngày 12 tháng 9 năm 2017 để khắc phục các sự cố đã biết trong bản cập nhật 3170455 cho CVE-2016-3238.

Microsoft đã cung cấp các bản cập nhật sau cho các phiên bản Microsoft Windows hiện đang được hỗ trợ. Để biết thêm thông tin, hãy đi tới bài viết sau đây trong Cơ sở Kiến thức Microsoft:

Bản cập nhật phát hành lại 3170455 cho Windows Server 2008
Bản cập nhật 4038777 bản cập nhật hàng tháng và 4038779 cập nhật bảo mật cho Windows 7 và Windows Server 2008 R2
Bản cập nhật 4038799 hàng tháng và 4038786 cập nhật bảo mật cho Windows Server 2012
Bản cập nhật 4038792 tổng hợp hàng tháng và 4038793 cập nhật bảo mật cho Windows 8.1 và Windows Server 2012 R2
Cập nhật tích lũy 4038781 cho Windows 10
Cập nhật tích lũy 4038781 cho Windows 10 Phiên bản 1511
Cập nhật tích lũy 4038782 cho Windows 10 phiên bản 1607 và Windows Server 2016

Microsoft khuyên những khách hàng đang chạy Windows Server 2008 nên cài đặt lại bản cập nhật 3170455. Microsoft khuyên những khách hàng đang chạy các phiên bản Windows được hỗ trợ khác nên cài đặt bản cập nhật thích hợp. Để biết thêm thông tin, hãy đi đến bài viết Cơ sở Tri thức Microsoft 3170455.

Các thay đổi khác có trong bản phát hành lại MS16-087

Đã thêm ghi nhật ký Sự kiện để giúp xác định nguyên nhân lỗi cài đặt trình điều khiển máy in

Trước đây, cách duy nhất để khách hàng biết lý do tại sao trình điều khiển không vượt qua các kiểm tra hạn chế mới được thực hiện như một phần của MS16-087 là thu thập nhật ký etw in, sau đó gửi đến Microsoft để phân tích.

Chúng tôi đã thêm chức năng ghi nhật ký nguyên nhân lỗi vào trình ghi sự kiện để khách hàng có thể tự điều tra nguyên nhân gốc rễ gây ra lỗi trình điều khiển.

Thông tin sẽ được ghi nhật ký:

1. Nếu trình điều khiển không được nhận biết gói hoặc không được ký đúng cách, thông báo sau sẽ được ghi nhật ký:

MSG_CSRSPL_UNTRUSTED_DRIVER: "Bộ đệm in không thể tải xuống gói ổ đĩa <driverName>. Error code= <errorCodeFromListBelow>. Chặn tài xế vì có thể có khả năng giả mạo.

2. Nếu trình điều khiển không xác thực được chữ ký bằng cách sử dụng danh mục được cung cấp, thông báo sau sẽ được ghi nhật ký:

VALIDATEDRVINFO_FAILED: "Trong VALIDATINGDRVINFO, không thể thêm driverName> trình điều khiển < máy in, mã < lỗi errorCodeFromListBelow>.

Mã Lỗi có thể có:

Mã	Ý nghĩa
0x800F0243L	Nhà phát hành không đáng tin cậy
0x800F024BL	Hàm băm không có trong danh mục
0x800F022FL	Không có danh mục cho OEM INF
0x800F023FL	Không có danh mục bản xác thực
0x800F0240L	Không cho phép Authenticode
0x800F0249L	Chung "Trình điều khiển cài đặt bị chặn"

Tóm tắt

Bản vá bảo mật này giải quyết các lỗ hổng trong Microsoft Windows. Các lỗ hổng nghiêm trọng hơn có thể cho phép thực thi mã từ xa nếu kẻ tấn công có thể thực hiện cuộc tấn công trung gian (MiTM) vào máy trạm hoặc máy chủ in hoặc thiết lập máy chủ in lậu trên mạng mục tiêu.

Để tìm hiểu thêm về lỗ hổng này, hãy xem Bảng tin Bảo mật Microsoft MS16-087.

Xem thêm thông tin

Quan trọng

Sau khi cài đặt bản cập nhật bảo mật này, để triển khai trình điều khiển Trỏ đến In từ máy chủ in đến máy khách, bạn phải áp dụng bản cập nhật Windows sau trên máy chủ máy in Windows 8.1 hoặc Windows Server 2012 R2:
Bản cập nhật 3000850 tháng 11 năm 2014 cho Windows RT 8.1, Windows 8.1 và Windows Server 2012 R2
Tất cả các cập nhật về bảo mật và không liên quan đến bảo mật dành cho Windows RT 8.1, Windows 8.1 và Windows Server 2012 R2 yêu cầu phải cài đặt 2919355 cập nhật. Chúng tôi khuyên bạn nên cài đặt bản cập nhật 2919355 trên máy tính chạy Windows RT 8.1, Windows 8.1 hoặc Windows Server 2012 R2 để nhận được các bản cập nhật trong tương lai.
Nếu bạn cài đặt gói ngôn ngữ sau khi cài đặt bản cập nhật này, bạn phải cài đặt lại bản cập nhật này. Do đó, chúng tôi khuyên bạn nên cài đặt bất kỳ gói ngôn ngữ nào bạn cần trước khi cài đặt bản cập nhật này. Để biết thêm thông tin, hãy xem Thêm gói ngôn ngữ vào Windows.

Thông tin bổ sung về bản cập nhật bảo mật này

Các bài viết sau đây chứa thông tin bổ sung về bản cập nhật bảo mật này vì bản cập nhật này liên quan đến các phiên bản sản phẩm riêng lẻ. Các bài viết có thể chứa thông tin về vấn đề đã biết.

3170455 MS16-087: Mô tả bản cập nhật bảo mật cho Windows các cấu phần bộ đệm in: Ngày 12 tháng 7 năm 2016
3163912 Cập nhật tích lũy cho Windows 10: Ngày 12 tháng 7 năm 2016
3172985 Bản cập nhật tích lũy cho Windows 10 Phiên bản 1511 và Bản xem trước Kỹ thuật Windows Server 2016 4: Ngày 12 tháng 7 năm 2016

Sự cố đã biết

Nếu bạn đang sử dụng in mạng trong môi trường của mình, bạn có thể gặp một trong các sự cố sau:

Bạn có thể được nhắc bằng cảnh báo về việc cài đặt trình điều khiển máy in hoặc trình điều khiển có thể không cài đặt được mà không có thông báo sau khi bạn áp dụng MS16-087. Các dấu hiệu ở đây phụ thuộc vào kịch bản cụ thể.
Kịch bản 1 Đối với trình điều khiển máy in v3 không nhận biết gói, thông báo cảnh báo sau có thể hiển thị khi người dùng cố kết nối với máy in điểm-và-in:

Kịch bản 2: Các trình điều khiển nhận biết gói phải được ký bằng chứng chỉ đáng tin cậy. Quy trình xác minh sẽ kiểm tra xem liệu tất cả các tệp có trong trình điều khiển đã được băm trong danh mục hay không. Nếu xác minh đó không thành công, trình điều khiển được coi là không đáng tin cậy. Trong tình huống này, cài đặt trình điều khiển bị chặn và thông báo cảnh báo sau được hiển thị:

Kịch bản 3 Đối với các kịch bản không tương tác (ví dụ: máy in được cài đặt thông qua tập lệnh tự động), khi trình điều khiển máy in khớp với tiêu chí được mô tả trong Kịch bản 1 hoặc Kịch bản 2, cài đặt máy in sẽ không thành công và không hiển thị thông báo cảnh báo.

Trong những tình huống này, hãy liên hệ với người quản trị mạng của bạn để lấy trình điều khiển cập nhật từ nhà sản xuất máy in.

Hướng dẫn dành cho quản trị viên mạng:
- Cập nhật trình điều khiển máy in bị ảnh hưởng. Trình điều khiển máy in V3 nhận biết gói được giới thiệu trong Windows Vista. Cài đặt trình điều khiển máy in nhận biết gói sẽ giải quyết được sự cố.
- Nếu một máy in cũ cụ thể không có sẵn trình điều khiển máy in phù hợp, việc cài đặt sẵn trình điều khiển máy in có vấn đề trên hệ thống máy khách sẽ giải quyết sự cố.
Để biết thêm thông tin về những kịch bản này, hãy xem các tài nguyên sau của Microsoft:
- Kiến trúc Dịch vụ In và Tài liệu
- Trình điều khiển in theo nhận biết gói
Sau khi bạn áp dụng bản cập nhật bảo mật MS16-087 (KB 3170455) và cố gắng kết nối với máy in nhận biết gói tin cậy được cài đặt trên hệ thống đang chạy Windows 8.1 hoặc Windows Server 2012 R2, bạn không thể kết nối với máy in.

Để giải quyết sự cố này, hãy áp dụng bản cập nhật Windows sau đây trên máy chủ máy in Windows 8.1 hoặc Windows Server 2012 R2:
Bản cập nhật 3000850 tháng 11 năm 2014 cho Windows RT 8.1, Windows 8.1 và Windows Server 2012 R2

Bản cập nhật tháng 10 năm 2016: Giảm thiểu các sự cố đã biết

Microsoft đã phát hành bản cập nhật cho tháng 10 năm 2016 cho phép quản trị viên mạng đặt cấu hình các chính sách cho phép cài đặt trình điều khiển in mà họ cho là an toàn. Bản cập nhật này cũng cho phép quản trị viên mạng triển khai các kết nối máy in mà họ cho là an toàn.

Các bản cập nhật này có trong các gói tổng hợp sau đây.

Windows 10 RTM	KB 3192440
Windows 10 1511	KB 3192441
Windows 10 1607	KB 3194798
Windows 7 và Windows Server 2008 R2	KB 3192403
Windows Server 2012	KB 3192406
Windows 8.1 và Windows Server 2012 R2	KB 3192404

Cấu hình chính sách nhóm để thêm máy chủ in vào danh sách được phép

Bấm vào Bắt đầu, rồi bấm vào Chạy.
Nhập gpedit.msc, sau đó bấm OK.
Bung rộng Cấu hình Máy tính, sau đó bung rộng Mẫu Quản trị.
Bấm vào Máy in.
Bấm đúp vào Hạn chế Trỏ và In, rồi chọn tùy chọn Đã bật.
Bên dưới Tùy chọn, chọn hộp kiểm Người dùng chỉ có thể trỏ và in đến những máy chủ này, rồi nhập tên máy chủ đủ điều kiện vào hộp văn bản, phân tách bằng dấu chấm phẩy.
Trong Yêu cầu bảo mật, hãy đặt như sau:
1. "Khi cài đặt trình điều khiển cho kết nối mới": "Hiển thị lời nhắc cảnh báo và nâng cao".
2. "Khi cập nhật trình điều khiển cho kết nối hiện có": "Hiển thị cảnh báo và lời nhắc nâng cao".
Bấm vào Áp dụng, rồi OK.
Trong trang chính sách Máy in, bấm đúp vào Điểm Đóng gói và In – Máy chủ được phê duyệt.
Chọn tùy chọn Đã bật.
Bên dưới Tùy chọn, bấm Hiện ra.
Nhập một tên máy chủ đủ điều kiện vào mỗi hàng.
Bấm OK.
Bấm Áp dụng, rồi bấm OK.
Nếu bạn đang sử dụng máy khách độc lập, hãy khởi động lại máy khách, rồi xác minh rằng các chính sách này có hiệu lực.
Nếu bạn sử dụng các chính sách tên miền, hãy đẩy chính sách cho máy khách tên miền, sau đó xác nhận rằng những chính sách này có hiệu lực.

Lưu ý: Sau khi bạn bật các chính sách nhóm này, bạn phải thêm tất cả các máy chủ máy in vào cả danh sách Hạn chế Trỏ và In và danh sách Máy chủ Điểm Đóng gói và In – Được phê duyệt. Điều này đúng bất kể nhận thức về gói hàng.

Các câu hỏi thường gặp về bản cập nhật Tháng Mười 2016

Hỏi: Chúng tôi có nên gỡ cài đặt bản cập nhật trước đó không?
Đáp: Không. Bản cập nhật trước đây khắc phục lỗ hổng. Bản cập nhật tháng 10 năm 2016 cung cấp biện pháp giảm thiểu để cung cấp cho quản trị viên mạng khả năng cài đặt trình điều khiển mà họ cho là an toàn.
H: Ngay cả khi đã cài đặt bản cập nhật của Tháng Mười 2016 và các chính sách nhóm đã được đặt cấu hình, thông báo "Bạn có tin cậy máy in này không" vẫn hiển thị khi tôi cố gắng cài đặt máy in cục bộ. Tại sao lại như vậy?
Đáp: Giảm thiểu này nhắm vào máy in mạng chứ không phải máy in cục bộ, vì vậy hành vi này là có thể xảy ra.

Lưu ý Nếu bạn nhận được thông báo "Bạn có tin cậy máy in này không", hãy thay thế trình điều khiển hiện tại của bạn bằng cách sử dụng trình điều khiển nhận biết gói đáng tin cậy hoặc cài đặt tệp trình điều khiển vào kho trình điều khiển cục bộ trước khi cài đặt máy in cục bộ. Để biết thêm thông tin, hãy xem phần Hướng dẫn dành cho quản trị viên mạng .

Cách lấy và cài đặt bản cập nhật

Phương pháp 1: Windows Update

Bạn có thể tải bản cập nhật này qua Windows Update. Khi bạn bật cập nhật tự động, bản cập nhật này sẽ tự động được tải xuống và cài đặt. Để biết thêm thông tin về cách bật cập nhật tự động, hãy xem Tự động tải bản cập nhật bảo mật.

Lưu ý Đối với Windows RT 8.1, bản cập nhật này chỉ có sẵn thông qua Windows Update.

Phương pháp 2: Trung tâm tải xuống của Microsoft

Bạn có thể lấy gói cập nhật độc lập này thông qua Trung tâm Tải xuống của Microsoft. Làm theo hướng dẫn cài đặt trên trang tải xuống để cài đặt bản cập nhật.

Bấm vào liên kết tải xuống trong Bảng tin Bảo mật Microsoft MS16-087 tương ứng với phiên bản Windows mà bạn đang chạy.

Xem thêm thông tin

Thông tin triển khai bản vá bảo mật

Windows Vista (tất cả các phiên bản) Bảng tham khảo