AG公司云
【清静通告】Windows Print Spooler远程代码执行误差（CVE-2021-1675/CVE-2021-34527）处置惩罚手册
2021-07-08
一. 误差概述
北京时间7月7日，微软针对CVE-2021-34527（PrintNightmare）宣布了清静更新，AG公司科技CERT建议宽大用户尽快装置补丁举行防护 。
6月29日，AG公司科技CERT监测到有清静研究员在GitHub上宣布了Windows Print Spooler 远程代码执行误差（PrintNightmare）的EXP，Print Spooler是Windows系统中治理打印相关事务的服务，用于治理所有外地和网络打印行列并控制所有打印事情 。Windows系统默认开启Print Spooler服务，通俗用户可以使用此误差提升至SYSTEM治理权限 。在域情形下，域用户可远程使用该误差以SYSTEM权限在域控制器上执行恣意代码，从而获得整个域的控制权 。AG公司科技研究团队确认，此EXP在装置了微软官方6月清静补丁更新中宣布的CVE-2021-1675修复程序的情形下仍可举行使用 。
北京时间7月2日，微软官目的对果真的EXP宣布了CVE-2021-34527的误差通告，并提供了暂时解决计划 。
此前mimikatz 已将此EXP武器化：
参考链接：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1675
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527
二. 事务时间线
2021-06-09 微软宣布月度清静更新：通告界说CVE-2021-1675为外地提权误差
2021-06-09 AG公司科技CERT宣布通告：指出该误差可实现域情形RCE
详见：https://mp.weixin.qq.com/s/0FzhRsbc17KHXL7z4CKinQ
2021-06-21 微软更新通告：将CVE-2021-1675改为远程代码执行误差
2021-06-29 误差POC果真
2021-06-29 在Windows Server 2019系统补丁情形复现视频果真
2021-07-01 mimikatz实现武器化集成
2021-07-02 微软紧迫宣布CVE-2021-34527通告（未宣布补� 。�
2021-07-02 AG公司科技CERT更新通告
2021-07-07 微软宣布CVE-2021-34527误差补丁
2021-07-07 AG公司科技CERT宣布处置惩罚手册
三. 影响规模
受影响版本
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows RT 8.1
Windows 8.1 for x64-based systems
Windows 8.1 for 32-bit systems
Windows 7 for x64-based Systems Service Pack 1
Windows 7 for 32-bit Systems Service Pack 1
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 10 for 32-bit Systems
Windows Server, version 20H2 (Server Core Installation)
Windows 10 Version 20H2 for ARM64-based Systems
Windows 10 Version 20H2 for 32-bit Systems
Windows 10 Version 20H2 for x64-based Systems
Windows Server, version 2004 (Server Core installation)
Windows 10 Version 2004 for x64-based Systems
Windows 10 Version 2004 for ARM64-based Systems
Windows 10 Version 2004 for 32-bit Systems
Windows 10 Version 21H1 for 32-bit Systems
Windows 10 Version 21H1 for ARM64-based Systems
Windows 10 Version 21H1 for x64-based Systems
Windows Server, version 1909 (Server Core installation)
Windows 10 Version 1909 for ARM64-based Systems
Windows 10 Version 1909 for x64-based Systems
Windows 10 Version 1909 for 32-bit Systems
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
四. 误差检测
4.1 产品检测
AG公司科技远程清静评估系统（RSAS）、网络入侵检测系统（IDS）与综合威胁探针（UTS）已具备对此误差的扫描与检测能力，请有安排以上装备的用户升级至最新版本 。
|
清静产品版本 |
升级包版本号 |
升级包下载链接 |
|
RSAS V6 系统插件包 |
V6.0R02F01.2400 |
http://update.nsfocus.com/update/listRsasDetail/v/vulsys |
|
IDS |
5.6.9.25788 |
http://update.nsfocus.com/update/listNewidsDetail/v/rule5.6.9 |
|
5.6.10.25788 |
http://update.nsfocus.com/update/listNewidsDetail/v/rule5.6.10 |
|
|
5.6.11.25788 |
http://update.nsfocus.com/update/listNewidsDetail/v/rule5.6.11 |
|
|
UTS |
5.6.10.25788 |
http://update.nsfocus.com/update/listBsaUtsDetail/v/rule2.0.0 |
关于RSAS的升级设置指导，请参考如下链接：
https://mp.weixin.qq.com/s/aLAWXs5DgRhNHf4WHHhQyg
五. 误差防护
5.1 补丁更新
现在微软官方已针对支持的系统版本宣布了修复以上误差的清静补丁，强烈建议受影响用户尽快装置补丁举行防护，下载链接：
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-1675
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-34527
现在尚有少部分Windows 版本暂未宣布CVE-2021-34527的清静补丁，微软称很快将会宣布更新，请相关用户一连举行关注 。
本次补丁装置需要一定前置更新，详情请参考：https://support.microsoft.com/zh-cn/topic/july-6-2021-kb5004945-os-builds-19041-1083-19042-1083-and-19043-1083-out-of-band-44b34928-0a71-4473-aa22-ecf3b83eed0e
注：由于网络问题、盘算机情形问题等缘故原由，Windows Update的补丁更新可能泛起失败 。用户在装置补丁后，应实时检查补丁是否乐成更新 。
右键点击Windows图标，选择“设置(N)”，选择“更新和清静”-“Windows更新”，审查该页面上的提醒信息，也可点击“审查更新历史纪录”审查历史更新情形 。
针对未乐成装置的更新，可点击更新名称跳转到微软官方下载页面，建议用户点击该页面上的链接，转到“Microsoft更新目录”网站下载自力程序包并装置 。
5.2 暂时防护步伐
一、用户可通过阻止并禁用Print Spooler服务对以上误差举行缓解：
进入使命治理器，选择“服务”->”翻开服务”->”选择Print Spooler”->”右键属性”，
启动类型”选择”禁用”，并点击”阻止”，关闭服务，点击”应用”和”确定”，使设置生效 。
注：停用此服务将导致打印功效失效 。
二、通过组战略禁用入站远程打� 。�
运行组战略编辑器（Win+R，输入gpedit.msc，翻开组战略编辑器），依次浏览到：盘算机设置/治理模板/打印机：禁用“允许打印后台处置惩罚程序接受客户端毗连：”战略以阻止远程攻击 。
注：此战略将通过阻止入站远程打印操作来阻止远程攻击 。该系统将不再用作打印服务器，但仍然可以外地打印到直接毗连的装备 。
5.3 产品防护
针对上述误差，AG公司科技网络入侵防护系统(IPS) 已宣布规则升级包，请相关用户升级至最新版本规则，以形成清静产品防护能力 。清静防护产品规则版本号如下：
|
清静防护产品 |
规则版本号 |
升级包下载链接 |
|
IPS |
5.6.9.25788 |
http://update.nsfocus.com/update/listNewipsDetail/v/rule5.6.9 |
|
5.6.10.25788 |
http://update.nsfocus.com/update/listNewipsDetail/v/rule5.6.10 |
|
|
5.6.11.25788 |
http://update.nsfocus.com/update/listNewipsDetail/v/rule5.6.11 |
产品规则升级的操作办法详见如下链接：
IPS：https://mp.weixin.qq.com/s/JsRktENQNj1TdZSU62N0Ww
声明
本清静通告仅用来形貌可能保存的清静问题，AG公司科技不为此清静通告提供任何包管或允许 。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，AG公司科技以及清静通告作者不为此肩负任何责任 。
AG公司科技拥有对此清静通告的修改息争释权 。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容 。未经AG公司科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的 。
