月份: 2021 年 7 月

Microsoft 敦促客戶立即安裝這些例外的安全更新以解決 PrintNightmare 漏洞，但有研究人員指出這次修補只補好RCE漏洞，本地權限升級(LPE)漏洞仍未修補好。

今天微軟發布了緊急的例外(Out-of-band)安全更新，以修補以一個關鍵的零日漏洞（稱為“PrintNightmare”）， 該漏洞影響Windows Print Spooler 服務，可讓攻擊者執行任意程式碼並接管易受攻擊的系統。

在上周微軟警告稱已檢測到攻擊者針對編號為CVE-2021-34527（CVSS 8.8）的開採，且該遠端程式碼執行缺陷影響所有市場上的Windows版本。

根據美國CERT協調中心(CERT Coordination Center)，Windows Print Spooler 服務未能限制對允許用戶添加印表機和相關驅動程式功能的存取，這可允許遠端身份驗證的攻擊者以系統權限在易受攻擊的系統上執行遠端程式碼。

值得注意的是，PrintNightmare漏洞包括遠端程式碼執行(RCE)和本地特權升級(LPE) 向量，可在攻擊中被濫用以在目標 Windows 機器上運行具有系統權限的命令。

CERT/CC 漏洞分析師 Will Dormann說: 微軟針對 CVE-2021-34527 的更新似乎只解決​​了 PrintNightmare 的遠端程式執行(RCE)，而不是本地特權升級（LPE）。這實際上意味著修補不全，攻擊者仍可以在本地利用該漏洞獲得系統(SYSTEM)權限。在微軟發布例外更新後，安全研究員 Matthew Hickey也證實該修補僅修復了 RCE 而不是 LPE 組件。

另外另一個變通方法，Microsoft 建議停止和關閉Print Spooler 列印緩衝處理服務或通過群組政策(Group Policy Object)關閉接收遠端列印以阻止遠端攻擊。CISA 上週也發布了關於 PrintNightmare 零日漏洞的通知，鼓勵管理員在不用於打印的服務器上關閉 Windows Print Spooler 服務。

Windows針對以下版本已發布了修補：

Windows Server 2019

Windows Server 2012 R2

Windows Server 2008

Windows 8.1

Windows RT 8.1, and

Windows 10 (versions 21H1, 20H2, 2004, 1909, 1809, 1803, and 1507)

微軟甚至採取了不常見的做法，為去年正式停止支援的Windows 7 發布修補。Windows 10 版本 1607、Windows Server 2016 或 Windows Server 2012 的安全更新尚未發布，但據微軟稱，它們也將很快發布。

美國國土安全部之網路安全暨基礎設施安全局(Cybersecurity and Infrastructure Security Agency, CISA) 已發布關於關鍵 PrintNightmare 零日漏洞的說明，並建議資安人員在不用於列印的伺服器上停用(Disable) Windows Print Spooler 列印緩衝處理服務。

CISA表示，CERT 協調中心已針對 Windows Print spooler 服務中的一個關鍵遠端程式碼執行漏洞發布了VulNote，並指出：“雖然 Microsoft 已發布針對 CVE-2021-1675的更新，但更新並未解決CVE-2021-1675 的公共漏洞利用。” 攻擊者可以利用此漏洞（稱 PrintNightmare）來控制受影響的系統。

CISA 鼓勵資安人員應採用 Microsoft 在2021 年 1 月 11 日發布的操作指南作最佳實踐：“由於存在暴露的可能性，網域控制器和AD管理系統需要停用列印後台處理程式服務，推薦的方法是使用群組原則(Group policy object)。

根據 Microsoft 的建議，應通過群組原則在所有網域控制器和 AD管理系統上停用Print Spooler 服務，因為它會增加遭受攻擊的風險，微軟補充說，由於大多數 Windows 客戶端和伺服器平台上預設啟用這服務，建議在所有不需要的伺服器上停用它，以減輕未來受攻擊的風險。

目前，在Microsoft完全解決PrintNightmare零日漏洞之前，停用Print Spooler 服務是確保駭客，尤其是勒索軟體組織不會趁機攻擊企業網路的最簡單方法。