【公告更新】Windows Print Spooler远程代码执行缝隙（CVE-2021-34527）
颁布功夫 2021-07-080x00 缝隙概述
CVE ID | CVE-2021-34527 | 时 间 | 2021-07-08 |
类 型 | RCE | 等 级 | 高危 |
远程利用 | 是 | 影响领域 | |
攻击复杂度 | 低 | 可用性 | 高 |
用户交互 | 所需权限 | ||
PoC/EXP | 已公开 | 在野利用 | 是 |
0x01 缝隙详情
Windows Print Spooler是Windows的打印机后盾处置法式，其治理所有本地和网络打印队列并节造所有打印工作，被宽泛利用于本地和内网中 。
2021年7月6日，Microsoft针对CVE-2021-34527颁布了带表安全更新KB5004945 。但是建议不要装置Microsoft 7 月 6 日颁布的补丁，由于它不仅不能预防缝隙，并且会批改“localspl.dll”文件，使得0Patch 的补丁不再有效 。
安全钻研人员暗示，微软只建复了该缝隙的远程代码执行部门，但在启用"指向并打印限度"的Windows战术的情况下，恶意软件和攻击者依然能够通过本地权限提升（LPE）来获得易受攻击系统的权限，并能够绕过补丁来实现远程代码执行 。
但要绕过补丁并实现RCE和LPE，必须启用名为"指向并打印限度"的Windows战术，并将 "装置新衔接的驱动法式时 "的设置配置为 "不显示忠告或提升提醒"（配置蹊径：组战术>推算机配置>治理模板>打印机>指向并打印限度） 。
启用后，在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint键下，"NoWarningNoElevationOnInstall "值将被设置为1 。
该缝隙（CVE-2021-34527）是AddPrinterDriverEx（）、RpcAddPrinterDriver（）和RpcAsyncAddPrinterDriver（）蹬酌于装置本地或远程打印机驱动法式的Windows API函数中短缺ACL（接见节造列表）查抄造成的 。这些函数都是通过分歧的Windows API使用，如下：
AddPrinterDriverEx (SDK)
RpcAddPrinterDriver (MS-RPRN)
RpcAsyncAddPrinterDriver (MS-PAR)
利用该缝隙能够绕过权限查抄，将恶意DLL装置到C:\Windows\System32\spool\drivers文件夹中，而后通过缝隙加载为打印驱动，实现远程代码执行或本地权限提升 。
0x02 汗青回首
2021年6月29日，安全钻研人员在GitHub上公开了一个Windows Print Spooler远程代码执行0day缝隙（CVE-2021-34527） 。
必要把稳的是，该缝隙（CVE-2021-34527）与Microsoft 6月8日星期二补丁日中建复并于6月21日更新的一个EoP升级到RCE的缝隙（CVE-2021-1675）不是统一个缝隙 。这两个缝隙类似但分歧，攻击向量也分歧 。
目前该缝隙已经公开披露，并且已呈此刻野利用 。当 Windows Print Spooler 服务不正确地执行特权文件操作时，存在远程执行代码缝隙 。成功利用此缝隙的攻击者能够使用 SYSTEM 权限运行肆意代码、装置法式、查看并更改或删除数据、或创建拥有齐全用户权限的新帐户，但攻击必须涉及挪用 RpcAddPrinterDriverEx() 的经过身份验证的用户 。
0x03 措置建议
第三方补丁服务团队0patch为 CVE-2021-34527颁布了一个免费的微补丁，据暗示该补丁可能阻止针对此缝隙利用 。在微软颁布最终更新之前，建议用户装置 0Patch 的微补丁或禁用 Print Spooler 服务 。
1.禁用 Print Spooler 服务（可选其一） 。
使用以下 PowerShell 号令：
Stop-Service -Name Spooler -Force
Set-Service -Name Spooler -StartupType Disabled
2. 通过组战术禁用入站远程打� 。ǹ裳∑湟唬�
运行组战术编纂器（Win+R快捷键，输入gpedit.msc，打开组战术编纂器），顺次进入：推算机配置>治理模板>打印机，禁用“允许打印后盾处置法式接受客户端衔接”战术以阻止远程攻击 。
下载链接：
https://blog.0patch.com/2021/07/free-micropatches-for-printnightmare.html
0x04 参考链接
https://github.com/afwu/PrintNightmare
https://www.bleepingcomputer.com/news/microsoft/microsofts-incomplete-printnightmare-patch-fails-to-fix-vulnerability/
https://blog.0patch.com/2021/07/free-micropatches-for-printnightmare.html
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527
0x05 功夫线
2021-07-01 Microsoft颁布安全公告
2021-07-02 VSRC颁布安全公告
2021-07-06 Microsoft颁布安全更新
2021-07-08 VSRC更新安全公告
0x06 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号