Windows Print Spooler远程代码执行0day漏洞（CVE-2021-36958）通告

阅读： 77

一、漏洞概述

北京时间8月11日，绿盟科技CERT监测到微软发布8月安全更新补丁，其中包括了在7月16日紧急发布的Windows Print Spooler权限提升漏洞（CVE-2021-34481），对应的补丁编号为KB5005652，微软同时将漏洞名称修改为远程代码执行。当 Windows Print Spooler 服务不正确地执行特权文件操作时，攻击者利用此漏洞可以使用 SYSTEM 权限运行任意代码。有国外研究人员在安装了最新补丁的Windows系统上进行测试，发现此次更新的CVE-2021-34481安全补丁无效，当受害者连接并安装攻击者控制的打印机时，可成功触发此漏洞。

绿盟科技第一时间安装补丁进行测试：

成功复现此漏洞的补丁绕过：

参考链接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34481

二、影响范围

受影响版本

Windows Server, version 20H2 (Server Core Installation)
Windows Server, version 2004 (Server Core installation)
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows RT 8.1
Windows 8.1 for x64-based systems
Windows 8.1 for 32-bit systems
Windows 7 for x64-based Systems Service Pack 1
Windows 7 for 32-bit Systems Service Pack 1
Windows 10 for x64-based Systems
Windows 10 for 32-bit Systems
Windows 10 Version 21H1 for x64-based Systems
Windows 10 Version 21H1 for ARM64-based Systems
Windows 10 Version 21H1 for 32-bit Systems
Windows 10 Version 20H2 for x64-based Systems
Windows 10 Version 20H2 for ARM64-based Systems
Windows 10 Version 20H2 for 32-bit Systems
Windows 10 Version 2004 for x64-based Systems

三、漏洞防护

防护措施

目前微软官方暂未对此情况发布消息和举措，建议受影响的用户仅安装受信任的打印机，或关闭打印服务（Print Spooler）对此漏洞进行防护。

一、用户可通过停止并禁用Print Spooler服务对此漏洞进行缓解：

进入任务管理器，选择“服务”->”打开服务”->”选择Print Spooler”->”右键属性”。

启动类型”选择”禁用”，并点击”停止”，关闭服务，点击”应用”和”确定”，使配置生效。

注：停用此服务将导致打印功能失效。

二、通过组策略禁用入站远程打印：

运行组策略编辑器（Win+R，输入gpedit.msc，打开组策略编辑器），依次浏览到：计算机配置/管理模板/打印机：禁用“允许打印后台处理程序接受客户端连接：”策略以阻止远程攻击。

注：此策略将通过阻止入站远程打印操作来阻止远程攻击。该系统将不再用作打印服务器，但仍然可以本地打印到直接连接的设备。

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。