【通告更新】Windows Print Spooler远程代码执行误差（CVE-2021-34527）
宣布时间 2021-07-080x00 误差概述
CVE ID | CVE-2021-34527 | 时 间 | 2021-07-08 |
类 型 | RCE | 等 级 | 高危 |
远程使用 | 是 | 影响规模 | |
攻击重漂后 | 低 | 可用性 | 高 |
用户交互 | 所需权限 | ||
PoC/EXP | 已果真 | 在野使用 | 是 |
0x01 误差详情
Windows Print Spooler是Windows的打印机后台处置惩罚程序，其管理所有外地和网络打印行列并控制所有打印事情，被普遍应用于外地和内网中。
2021年7月6日，Microsoft针对CVE-2021-34527宣布了带外清静更新KB5004945。可是建议不要装置Microsoft 7 月 6 日宣布的补丁，由于它不但不可避免误差，并且会修改“localspl.dll”文件，使得0Patch 的补丁不再有用。
清静研究职员体现，微软只修复了该误差的远程代码执行部分，但在启用"指向并打印限制"的Windows战略的情形下，恶意软件和攻击者仍然可以通过外地权限提升（LPE）来获得易受攻击系统的权限，并可以绕过补丁来实现远程代码执行。
但要绕过补丁并实现RCE和LPE，必需启用名为"指向并打印限制"的Windows战略，并将 "装置新毗连的驱动程序时 "的设置设置为 "不显示忠言或提升提醒"（设置路径：组战略>盘算机设置>管理模板>打印机>指向并打印限制）。
启用后，在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint键下，"NoWarningNoElevationOnInstall "值将被设置为1。
该误差（CVE-2021-34527）是AddPrinterDriverEx（）、RpcAddPrinterDriver（）和RpcAsyncAddPrinterDriver（）等用于装置外地或远程打印机驱动程序的Windows API函数中缺少ACL（会见控制列表）检查造成的。这些函数都是通过差别的Windows API使用，如下：
AddPrinterDriverEx (SDK)
RpcAddPrinterDriver (MS-RPRN)
RpcAsyncAddPrinterDriver (MS-PAR)
使用该误差可以绕过权限检查，将恶意DLL装置到C:\Windows\System32\spool\drivers文件夹中，然后通过误差加载为打印驱动，实现远程代码执行或外地权限提升。
0x02 历史回首
2021年6月29日，清静研究职员在GitHub上果真了一个Windows Print Spooler远程代码执行0day误差（CVE-2021-34527）。
需要注重的是，该误差（CVE-2021-34527）与Microsoft 6月8日星期二补丁日中修复并于6月21日更新的一个EoP升级到RCE的误差（CVE-2021-1675）不是统一个误差。这两个误差相似但差别，攻击向量也差别。
现在该误差已经果真披露，并且已泛起在野使用。当 Windows Print Spooler 服务不准确地执行特权文件操作时，保存远程执行代码误差。乐成使用此误差的攻击者可以使用 SYSTEM 权限运行恣意代码、装置程序、审查并更改或删除数据、或建设具有完全用户权限的新帐户，但攻击必需涉及挪用 RpcAddPrinterDriverEx() 的经由身份验证的用户。
0x03 处置惩罚建议
第三方补丁服务团队0patch为 CVE-2021-34527宣布了一个免费的微补丁，据体现该补丁能够阻止针对此误差使用。在微软宣布最终更新之前，建议用户装置 0Patch 的微补丁或禁用 Print Spooler 服务。
1.禁用 Print Spooler 服务（可选其一）。
使用以下 PowerShell 下令：
Stop-Service -Name Spooler -Force
Set-Service -Name Spooler -StartupType Disabled
2. 通过组战略禁用入站远程打�。ǹ裳∑湟唬�
运行组战略编辑器（Win+R快捷键，输入gpedit.msc，翻开组战略编辑器），依次进入：盘算机设置>管理模板>打印机，禁用“允许打印后台处置惩罚程序接受客户端毗连”战略以阻止远程攻击。
下载链接：
https://blog.0patch.com/2021/07/free-micropatches-for-printnightmare.html
0x04 参考链接
https://github.com/afwu/PrintNightmare
https://www.bleepingcomputer.com/news/microsoft/microsofts-incomplete-printnightmare-patch-fails-to-fix-vulnerability/
https://blog.0patch.com/2021/07/free-micropatches-for-printnightmare.html
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527
0x05 时间线
2021-07-01 Microsoft宣布清静通告
2021-07-02 VSRC宣布清静通告
2021-07-06 Microsoft宣布清静更新
2021-07-08 VSRC更新清静通告
0x06 附录
CVSS评分标准官网：http://www.first.org/cvss/
京公网安备11010802024551号