【公告更新】Windows Print Spooler远程代码执行缝隙（CVE-2021-34527）
颁布功夫 2021-07-080x00 缝隙概述
CVE ID | CVE-2021-34527 | 时 间 | 2021-07-08 |
类 型 | RCE | 等 级 | 高危 |
远程利用 | 是 | 影响领域 | |
攻击复杂度 | 低 | 可用性 | 高 |
用户交互 | 所需权限 | ||
PoC/EXP | 已公开 | 在野利用 | 是 |
0x01 缝隙详情
Windows Print Spooler是Windows的打印机后盾处置法式 ，其治理所有本地和网络打印队列并节造所有打印工作 ，被宽泛利用于本地和内网中。
2021年7月6日 ，Microsoft针对CVE-2021-34527颁布了带表安全更新KB5004945。但是建议不要装置Microsoft 7 月 6 日颁布的补丁 ，由于它不仅不能预防缝隙 ，并且会批改“localspl.dll”文件 ，使得0Patch 的补丁不再有效。
安全钻研人员暗示 ，微软只建复了该缝隙的远程代码执行部门 ，但在启用"指向并打印限度"的Windows战术的情况下 ，恶意软件和攻击者依然能够通过本地权限提升（LPE）来获得易受攻击系统的权限 ，并能够绕过补丁来实现远程代码执行。
但要绕过补丁并实现RCE和LPE ，必须启用名为"指向并打印限度"的Windows战术 ，并将 "装置新衔接的驱动法式时 "的设置配置为 "不显示忠告或提升提醒"（配置蹊径：组战术>推算机配置>治理模板>打印机>指向并打印限度）。
启用后 ，在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint键下 ，"NoWarningNoElevationOnInstall "值将被设置为1。
该缝隙（CVE-2021-34527）是AddPrinterDriverEx（）、RpcAddPrinterDriver（）和RpcAsyncAddPrinterDriver（）蹬酌于装置本地或远程打印机驱动法式的Windows API函数中短缺ACL（接见节造列表）查抄造成的。这些函数都是通过分歧的Windows API使用 ，如下：
AddPrinterDriverEx (SDK)
RpcAddPrinterDriver (MS-RPRN)
RpcAsyncAddPrinterDriver (MS-PAR)
利用该缝隙能够绕过权限查抄 ，将恶意DLL装置到C:\Windows\System32\spool\drivers文件夹中 ，而后通过缝隙加载为打印驱动 ，实现远程代码执行或本地权限提升。
0x02 汗青回首
2021年6月29日 ，安全钻研人员在GitHub上公开了一个Windows Print Spooler远程代码执行0day缝隙（CVE-2021-34527）。
必要把稳的是 ，该缝隙（CVE-2021-34527）与Microsoft 6月8日星期二补丁日中建复并于6月21日更新的一个EoP升级到RCE的缝隙（CVE-2021-1675）不是统一个缝隙。这两个缝隙类似但分歧 ，攻击向量也分歧。
目前该缝隙已经公开披露 ，并且已呈此刻野利用。当 Windows Print Spooler 服务不正确地执行特权文件操作时 ，存在远程执行代码缝隙。成功利用此缝隙的攻击者能够使用 SYSTEM 权限运行肆意代码、装置法式、查看并更改或删除数据、或创建拥有齐全用户权限的新帐户 ，但攻击必须涉及挪用 RpcAddPrinterDriverEx() 的经过身份验证的用户。
0x03 措置建议
第三方补丁服务团队0patch为 CVE-2021-34527颁布了一个免费的微补丁 ，据暗示该补丁可能阻止针对此缝隙利用。在微软颁布最终更新之前 ，建议用户装置 0Patch 的微补丁或禁用 Print Spooler 服务。
1.禁用 Print Spooler 服务（可选其一）。
使用以下 PowerShell 号令：
Stop-Service -Name Spooler -Force
Set-Service -Name Spooler -StartupType Disabled
2. 通过组战术禁用入站远程打�。ǹ裳∑湟唬�
运行组战术编纂器（Win+R快捷键 ，输入gpedit.msc ，打开组战术编纂器） ，顺次进入：推算机配置>治理模板>打印机 ，禁用“允许打印后盾处置法式接受客户端衔接”战术以阻止远程攻击。
下载链接：
https://blog.0patch.com/2021/07/free-micropatches-for-printnightmare.html
0x04 参考链接
https://github.com/afwu/PrintNightmare
https://www.bleepingcomputer.com/news/microsoft/microsofts-incomplete-printnightmare-patch-fails-to-fix-vulnerability/
https://blog.0patch.com/2021/07/free-micropatches-for-printnightmare.html
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527
0x05 功夫线
2021-07-01 Microsoft颁布安全公告
2021-07-02 VSRC颁布安全公告
2021-07-06 Microsoft颁布安全更新
2021-07-08 VSRC更新安全公告
0x06 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号