MS16-087: Bản cập nhật bảo mật cho các cấu phần của bộ đệm in Windows: ngày 12 tháng 7 năm 2016

Áp dụng cho

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Thông báo

Bản cập nhật bảo mật này đã được phát hành lại vào ngày 12 tháng 9 năm 2017, để giải quyết các sự cố đã biết trong bản cập nhật 3170455 cho CVE-2016-3238.

Microsoft đã cung cấp các bản cập nhật sau cho các phiên bản Microsoft Windows hiện đang được hỗ trợ. Để biết thêm thông tin, hãy đi tới bài viết sau đây trong Cơ sở Kiến thức Microsoft:

Bản cập nhật phát hành 3170455 phát hành lại Windows Server 2008
Bản tổng hợp hàng 4038777 cập nhật bảo 4038779 cho Windows 7 và Windows Server 2008 R2
Bản tổng hợp hàng tháng 4038799 cập nhật bảo mật 4038786 cập nhật cho Windows Server 2012
Bản tổng hợp hàng tháng 4038792 cập nhật bảo mật 4038793 cho Windows 8.1 và Windows Server 2012 R2
Bản cập nhật tích lũy 4038781 cho Windows 10
Bản cập nhật tích lũy 4038781 cho Windows 10 phiên bản 1511
Bản cập nhật 4038782 tích lũy Windows 10 phiên bản 1607 và Windows Server 2016

Microsoft khuyên khách hàng đang chạy bản cập nhật Windows Server 2008 sẽ cài đặt lại 3170455. Microsoft khuyên khách hàng đang chạy các phiên bản Windows được hỗ trợ khác nên cài đặt bản cập nhật thích hợp. Để biết thêm thông tin, hãy truy cập bài viết trong Cơ sở Kiến thức Microsoft 3170455.

Những thay đổi khác được bao gồm trong bản phát hành lại MS16-087

Đã thêm tính năng ghi nhật ký Sự kiện để giúp xác định nguyên nhân gây ra lỗi cài đặt trình điều khiển máy in

Trước đây, cách duy nhất để khách hàng biết lý do tại sao trình điều khiển không kiểm tra hạn chế mới được thực hiện như là một phần của MS16-087 là thu thập nhật ký etw in, sau đó gửi tới Microsoft để phân tích.

Chúng tôi đã thêm chức năng để ghi lại nguyên nhân gây ra lỗi vào nhật ký sự kiện để khách hàng có thể tự điều tra nguyên nhân gốc gây ra lỗi trình điều khiển.

Thông tin sẽ được ghi nhật ký:

1. Nếu trình điều khiển không được đóng gói nhận biết hoặc không được ký đúng cách, thông báo sau đây được ghi nhật ký:

MSG_CSRSPL_UNTRUSTED_DRIVER: "Bộ đệm in không thể tải xuống gói cho driverName trình điều< khiển>. Mã lỗi= <errorCodeFromListBelow>. Chặn trình điều khiển vì có thể có khả năng xảy ra giả mạo tiềm ẩn."

2. Nếu trình điều khiển không xác thực được chữ ký bằng cách sử dụng danh mục được cung cấp, thì thông báo sau đây được ghi nhật ký:

VALIDATEDRVINFO_FAILED: "Trong VALIDATINGDRVINFO, < Thêm driverName> máy in không thành công, < lỗi mã lỗiCodeFromListBelow>.

Các mã Lỗi Có thể xảy ra:

Mã	Ý nghĩa
0x800F0243L	Publisher không đáng tin cậy
0x800F024BL	Hàm băm không có trong danh mục
0x800F022FL	Không có Danh mục cho OEM INF
0x800F023FL	Không có danh mục authenticode
0x800F0240L	Không cho phép Authenticode
0x800F0249L	Chung "Đã chặn cài đặt trình điều khiển"

Tóm tắt

Bản cập nhật bảo mật này giải quyết các lỗ hổng trong Microsoft Windows. Nghiêm trọng hơn của các lỗ hổng có thể cho phép thực thi mã từ xa nếu kẻ tấn công có thể thực hiện một cuộc tấn công man-in-the-middle (MiTM) vào một máy trạm hoặc máy chủ in, hoặc thiết lập một máy chủ in rogue trên một mạng mục tiêu.

Để tìm hiểu thêm về lỗ hổng bảo mật, hãy xem Microsoft Security Bulletin MS16-087.

Xem thêm thông tin

Quan trọng

Sau khi cài đặt bản cập nhật bảo mật này, để triển khai trình điều khiển Điểm và In từ máy chủ in cho máy khách, bạn phải áp dụng bản tổng hợp cập nhật Windows sau trên máy chủ máy in Windows 8.1 hoặc Windows Server 2012 R2:
3000850 cập nhật tháng 11 năm 2014 cho Windows RT 8.1, Windows 8.1 và Windows Server 2012 R2
Tất cả các bản cập nhật bảo mật và không liên quan đến bảo mật trong tương lai cho Windows RT 8.1, Windows 8.1 và Windows Server 2012 R2 đều yêu cầu cài 2919355 cập nhật. Chúng tôi khuyên bạn nên cài đặt bản cập nhật 2919355 trên máy tính dựa trên Windows RT 8.1, dựa trên Windows 8.1 hoặc Windows Server 2012 R2 để bạn nhận được các bản cập nhật trong tương lai.
Nếu bạn cài đặt gói ngôn ngữ sau khi cài đặt bản cập nhật này, bạn phải cài đặt lại bản cập nhật này. Do đó, chúng tôi khuyên bạn nên cài đặt bất kỳ gói ngôn ngữ nào bạn cần trước khi cài đặt bản cập nhật này. Để biết thêm thông tin, hãy xem Thêm gói ngôn ngữ vào Windows.

Thông tin bổ sung về bản cập nhật bảo mật này

Các bài viết sau có chứa thông tin bổ sung về bản cập nhật bảo mật này liên quan đến các phiên bản sản phẩm riêng lẻ. Các bài viết có thể chứa thông tin về sự cố đã biết.

3170455 MS16-087: Mô tả về bản cập nhật bảo mật cho các cấu phần của bộ đệm in Windows: ngày 12 tháng 7 năm 2016
3163912 cập nhật tích lũy cho ngày Windows 10: ngày 12 tháng 7 năm 2016
3172985 cập nhật tích lũy cho Windows 10 phiên bản 1511 và Windows Server 2016 Technical Preview 4: ngày 12 tháng 7 năm 2016

Sự cố đã biết

Nếu bạn đang sử dụng in mạng trong môi trường của mình, bạn có thể gặp một trong các sự cố sau:

Bạn có thể được nhắc bằng cảnh báo về việc cài đặt trình điều khiển máy in hoặc trình điều khiển có thể không cài đặt được mà không thông báo sau khi bạn áp dụng MS16-087. Các triệu chứng ở đây phụ thuộc vào kịch bản cụ thể.
Kịch bản 1 Đối với các trình điều khiển máy in v3 không biết gói, thông báo cảnh báo sau đây có thể được hiển thị khi người dùng cố gắng kết nối với máy in trỏ và in:

Kịch bản 2 Trình điều khiển nhận biết gói phải được ký bằng chứng chỉ tin cậy. Quá trình xác minh kiểm tra xem tất cả các tệp được bao gồm trong trình điều khiển có được băm trong danh mục hay không. Nếu xác minh không thành công, người lái xe bị coi là không đáng tin cậy. Trong trường hợp này, cài đặt trình điều khiển bị chặn và thông báo cảnh báo sau đây được hiển thị:

Kịch bản 3 Đối với các trường hợp không tương tác (ví dụ: máy in được cài đặt thông qua tập lệnh tự động), khi trình điều khiển máy in khớp với tiêu chí được mô tả trong Kịch bản 1 hoặc Kịch bản 2, cài đặt máy in không thành công và không có thông báo cảnh báo nào được hiển thị.

Trong những trường hợp này, hãy liên hệ với người quản trị mạng của bạn để nhận trình điều khiển cập nhật từ nhà sản xuất máy in.

Hướng dẫn dành cho người quản trị mạng:
- Cập nhật trình điều khiển máy in bị ảnh hưởng. Trình điều khiển máy in V3 nhận biết gói được giới thiệu trong Windows Vista. Việc cài đặt trình điều khiển máy in nhận biết gói sẽ giải quyết được sự cố.
- Nếu một máy in kế thừa cụ thể không có trình điều khiển máy in thích hợp có sẵn, cài đặt sẵn trình điều khiển máy in có vấn đề trên hệ thống khách hàng sẽ giải quyết vấn đề.
Để biết thêm thông tin về các kịch bản này, hãy xem các tài nguyên Microsoft sau:
- Kiến trúc Dịch vụ In và Tài liệu
- Trình điều khiển in nhận biết gói
Sau khi bạn áp dụng bản cập nhật bảo mật MS16-087 (KB 3170455) và cố gắng kết nối với máy in nhận biết gói tin cậy được cài đặt trên hệ thống đang chạy Windows 8.1 hoặc Windows Server 2012 R2, bạn không thể kết nối với máy in.

Để giải quyết sự cố này, hãy áp dụng bản tổng hợp bản cập nhật Windows sau trên Windows 8.1 hoặc Windows Server máy in 2012 R2:
3000850 cập nhật tháng 11 năm 2014 cho Windows RT 8.1, Windows 8.1 và Windows Server 2012 R2

Bản cập nhật Tháng Mười 2016: Giảm thiểu các sự cố đã biết

Microsoft đã phát hành bản cập nhật cho tháng 10 năm 2016 cho phép người quản trị mạng đặt cấu hình các chính sách cho phép cài đặt trình điều khiển in mà họ cho là an toàn. Bản cập nhật này cũng cho phép người quản trị mạng triển khai kết nối máy in mà họ cho là an toàn.

Các bản cập nhật được bao gồm trong các gói tổng hợp sau đây.

Windows 10 RTM	Trình 3192440 KB
Windows 10 1511	Bản cập 3192441 KB
Windows 10 1607	Trình 3194798 KB
Windows 7 và Windows Server 2008 R2	Trình 3192403 KB
Windows Server 2012	Bản cập 3192406 KB
Windows 8.1 và Windows Server 2012 R2	Bản cập 3192404 KB

Đặt cấu hình chính sách nhóm thêm máy chủ in vào danh sách được phép

Bấm vào Bắt đầu, rồi bấm vào Chạy.
Nhập gpedit.msc, rồi bấm OK.
Bung rộng Cấu hình Máy tính, rồi bung rộng Mẫu Quản trị.
Bấm Máy in.
Bấm đúp vào Giới hạn Điểm và In, rồi chọn tùy chọn Đã bật.
Bên dưới Tùy chọn, chọn hộp kiểm Người dùng chỉ có thể trỏ và in tới các máy chủ này, rồi nhập tên máy chủ đầy đủ tiêu chuẩn vào hộp văn bản, phân tách bằng dấu chấm phẩy.
Trong Cài đặt Yêu cầu mật, hãy đặt như sau:
1. "Khi cài đặt trình điều khiển cho kết nối mới": "Hiển thị lời nhắc cảnh báo và nâng cao".
2. "Khi cập nhật trình điều khiển cho kết nối hiện có": "Hiển thị lời nhắc cảnh báo và nâng cao".
Bấm Áp dụng, rồi bấm OK.
Trong trang Chính sách máy in, bấm đúp vào Điểm Đóng gói và In – Máy chủ được phê duyệt.
Chọn tùy chọn Đã bật.
Bên dưới Tùy chọn, bấm vào Hiển thị.
Nhập một tên máy chủ đầy đủ tiêu chuẩn vào mỗi hàng.
Bấm OK.
Bấm Áp dụng, rồi bấm OK.
Nếu bạn đang sử dụng máy khách độc lập, hãy khởi động lại máy khách, rồi xác minh rằng các chính sách này có hiệu lực.
Nếu bạn sử dụng chính sách tên miền, đẩy các chính sách cho các máy khách tên miền, và sau đó xác minh rằng các chính sách này có hiệu lực.

Lưu ý Sau khi bạn kích hoạt các chính sách nhóm, bạn phải thêm tất cả các máy chủ máy in vào cả hai điểm và in hạn chế danh sách điểm và in – được phê duyệt máy chủ danh sách. Điều này là đúng bất kể nhận thức gói.

Câu hỏi Thường Gặp về Bản cập nhật Tháng Mười 2016

Hỏi: Chúng tôi có nên gỡ cài đặt bản cập nhật trước không?
Đáp: Không. Bản cập nhật trước đây sẽ khắc phục lỗ hổng. Bản cập nhật tháng 10 năm 2016 cung cấp biện pháp giảm nhẹ để giúp người quản trị mạng có thể cài đặt các trình điều khiển mà họ cho là an toàn.
Hỏi: Ngay cả khi đã cài đặt bản cập nhật tháng 10 năm 2016 và các chính sách nhóm được đặt cấu hình, thông báo "Bạn có tin tưởng máy in này" vẫn được hiển thị khi tôi cố gắng cài đặt máy in cục bộ. Tại sao lại thế?
A: Này mục tiêu giảm thiểu máy in mạng và không phải máy in địa phương, do đó, hành vi này là dự kiến.

Lưu ý Nếu bạn nhận được thông báo "Do you trust this printer", hoặc thay thế trình điều khiển hiện tại của bạn bằng cách sử dụng một đáng tin cậy gói nhận thức trình điều khiển, hoặc cài đặt các tập tin trình điều khiển để lưu trữ trình điều khiển địa phương trước khi bạn cài đặt máy in địa phương. Để biết thêm thông tin, hãy xem phần Hướng dẫn dành cho người quản trị mạng .

Cách nhận và cài đặt bản cập nhật

Phương pháp 1: Windows Update

Bạn có thể tải bản cập nhật này qua Windows Update. Khi bạn bật cập nhật tự động, bản cập nhật này sẽ tự động được tải xuống và cài đặt. Để biết thêm thông tin về cách bật cập nhật tự động, hãy xem Tải bản cập nhật bảo mật tự động.

Lưu ý Đối với Windows RT 8.1, bản cập nhật này chỉ khả dụng Windows Update thời.

Phương pháp 2: Trung tâm Tải xuống của Microsoft

Bạn có thể tải gói cập nhật độc lập thông qua Trung tâm Tải xuống của Microsoft. Làm theo hướng dẫn cài đặt trên trang tải xuống để cài đặt bản cập nhật.

Bấm vào liên kết tải xuống trong Bảng tin Bảo mật Microsoft MS16-087 tương ứng với phiên bản Windows mà bạn đang chạy.

Xem thêm thông tin

Thông tin triển khai bản cập nhật bảo mật

Bảng Tham khảo của Windows Vista (tất cả các phiên bản)