إدارة نشر تغييرات ربط RPC للطابعة CVE-2021-1678 (KB4599464)

ينطبق على
Windows Server 2008 Service Pack 2 Windows Server 2008 R2 Service Pack 1 Windows Server 2012 Windows Server 2012 R2 Windows Server version 1809 Windows Server version 1903 Windows Server version 1909 Windows Server 2016, all editions Windows Server 2019 Windows Server version 2004 Windows Server version 20H2

الملخص

توجد ثغرة أمنية في تجاوز الأمان في الطريقة التي يعالج بها ربط استدعاء الإجراء البعيد للطابعة (RPC) المصادقة لواجهة Winspool البعيدة. يعالج تحديث Windows هذه الثغرة الأمنية عن طريق زيادة مستوى مصادقة RPC وتقديم نهج ومفتاح تسجيل جديدين للسماح للعملاء بتعطيل وضع Enforcement أو تمكينه على جانب الخادم لزيادة مستوى المصادقة.

لمعرفة المزيد حول الثغرة الأمنية، راجع CVE-2021-1678 | ثغرة أمنية في انتحال المخزن المؤقت للطباعة في Windows.

اتخاذ الإجراء المناسب

لحماية البيئة ومنع انقطاع التيار الكهربائي، يجب عليك القيام بما يلي:
  1. قم بتحديث جميع أجهزة العميل والخادم عن طريق تثبيت تحديث 12 يناير 2021 لنظام Windows أو تحديث Windows أحدث. تجدر الإشارة إلى أن تثبيت Windows Update لا يخفف تماما من الثغرة الأمنية وقد يؤثر على إعداد الطباعة الحالي. يجب تنفيذ الخطوة 2.
  2. قم بتمكين وضع التنفيذ على خادم الطباعة. سيتم تمكين وضع الفرض على جميع أجهزة Windows في تاريخ ما في المستقبل.

توقيت التحديثات

سيتم إصدار تحديثات Windows هذه على مرحلتين:

  • مرحلة النشر الأولية لتحديثات Windows التي تم إصدارها في 12 يناير 2021 أو بعده.
  • تم إصدار مرحلة التنفيذ لتحديثات Windows في تاريخ ما في المستقبل.

12 يناير 2021: مرحلة النشر الأولي

تبدأ مرحلة النشر الأولية مع تحديث Windows الذي تم إصداره في 12 يناير 2021 من خلال توفير القدرة لعملاء الخادم على تمكين مستوى الأمان المتزايد هذا بمفردهم استنادا إلى جهوزية بيئتهم.

هذا الإصدار:

  • يعالج CVE-2021-1678 (في وضع النشر تم تعيينه إلى إيقاف التشغيل بشكل افتراضي).
  • يضيف دعما لقيمة التسجيل RpcAuthnLevelPrivacyEnabled لتمكين زيادة مستوى التخويل لحماية IRemoteWinspool للطابعة.

يتكون التخفيف من تثبيت تحديثات Windows على جميع الأجهزة على مستوى العميل والخادم.

14 سبتمبر 2021: مرحلة التنفيذ

ينتقل الإصدار إلى مرحلة الإنفاذ في 14 سبتمبر 2021. تفرض مرحلة التنفيذ التغييرات لمعالجة CVE-2021-1678 عن طريق زيادة مستوى التفويض دون الحاجة إلى تعيين قيمة السجل.

إرشادات التثبيت

قبل تثبيت هذا التحديث

يجب تثبيت التحديثات المطلوبة التالية قبل تطبيق هذا التحديث. إذا كنت تستخدم Windows Update، فسيتم تقديم هذه التحديثات المطلوبة تلقائيا حسب الحاجة.

  • يجب أن يكون لديك تحديث (KB4474419) بتاريخ 23 سبتمبر 2019 أو تحديث SHA-2 أحدث مثبتًا ثم قم بإعادة تشغيل جهازك قبل تطبيق هذا التحديث. لمزيد من المعلومات حول تحديثات SHA-2، راجع متطلبات دعم توقيع التعليمات البرمجية 2019 SHA-2 لكل من Windows وخادم WSUS‏‎.
  • بالنسبة إلى Windows Server 2008 R2 SP1، يجب تثبيت تحديث مكدس الخدمة (SSU) (KB4490628) بتاريخ ١٢ مارس 2019. بعد تثبيت KB4490628 التحديث، نوصي بتثبيت آخر تحديث SSU. لمزيد من المعلومات حول آخر تحديث SSU، راجع ADV990001 | آخر التحديثات مكدس الخدمة.
  • بالنسبة إلى Windows Server 2008 SP2، يجب تثبيت تحديث مكدس الصيانة (SSU) (KB4493730) بتاريخ 9 أبريل 2019. بعد تثبيت KB4493730 التحديث، نوصي بتثبيت آخر تحديث SSU. لمزيد من المعلومات حول آخر تحديثات SSU، راجع ADV990001 | آخر التحديثات مكدس الخدمة.
  • يتعين على العملاء شراء التحديث الأمني الموسع (ESU) للإصدارات المحلية من Windows Server 2008 SP2 أو Windows Server 2008 R2 SP1 بعد انتهاء الدعم الموسع في 14 يناير 2020. يجب على العملاء الذين قاموا بشراء ESU اتباع الإجراءات الموجودة في KB4522133 لمتابعة تلقي تحديثات الأمان. للحصول علي مزيد من المعلومات حولESU والإصدارات المعتمدة ، راجع KB4497181.

مهم يجب إعادة تشغيل جهازك بعد تثبيت هذه التحديثات المطلوبة.

تثبيت التحديث

لحل الثغرة الأمنية، قم بتثبيت تحديثات Windows وتمكين وضع التنفيذ باتباع الخطوات التالية:

  1. انشر تحديث 12 يناير 2021 على جميع أجهزة العميل والخادم.
  2. بعد تحديث جميع أجهزة العميل والخادم، يمكن تمكين الحماية الكاملة عن طريق تعيين قيمة التسجيل إلى 1.

الخطوة 1: تثبيت تحديث Windows

قم بتثبيت تحديث 12 يناير 2021 Windows أو تحديث Windows لاحق على جميع أجهزة العميل والخادم.

تحديثات 12 يناير 2021
منتج Windows Server KB # نوع التحديث
Windows Server، الإصدار 20H2 (تثبيت Server Core) 4598242 تحديث أمان
Windows Server، الإصدار 2004 (تثبيت Server Core) 4598242 تحديث أمان
Windows Server، الإصدار 1909 (تثبيت Server Core) 4598229 تحديث أمان
Windows Server، الإصدار 1903 (تثبيت Server Core) 4598229 تحديث أمان
Windows Server 2019 (تثبيت Server Core) 4598230 تحديث أمان
Windows Server 2019 4598230 تحديث أمان
Windows Server 2016 (تثبيت Server Core) 4598243 تحديث أمان
Windows Server 2016 4598243 تحديث أمان
Windows Server 2012 R2 (تثبيت Server Core) 4598285 مجموعة التحديثات الشهرية
4598275 الأمان فقط
Windows Server 2012 R2 4598285 مجموعة التحديثات الشهرية
4598275 الأمان فقط
Windows Server 2012 (تثبيت Server Core) 4598278 مجموعة التحديثات الشهرية
4598297 الأمان فقط
Windows Server 2012 4598278 مجموعة التحديثات الشهرية
4598297 الأمان فقط
نظام التشغيل Windows Server 2008 R2 المزود بحزمة الخدمة Service Pack 1 4598279 مجموعة التحديثات الشهرية
4598289 الأمان فقط
نظام التشغيل Windows Server 2008 المزود بحزمة الخدمة Service Pack 2 4598288 مجموعة التحديثات الشهرية
4598287 الأمان فقط

الخطوة 2: تمكين وضع التنفيذ

هام يحتوي هذا القسم، أو الأسلوب، أو المهمة على خطوات تخبرك بكيفية تغيير السجل. ولكن قد تحدث مشاكل خطيرة إذا عدلت السجل بشكل غير صحيح. لذلك تأكد من اتباع هذه الخطوات بعناية. للحماية الإضافية، يمكنك إجراء نسخ احتياطي للسجل قبل تعديله. بعد ذلك، يمكنك استعادة السجل في حالة حدوث مشكلة. لمزيد من المعلومات حول كيفية عمل نسخة احتياطية من السجل واستعادته، راجع كيفية عمل نسخة احتياطية من السجل واستعادته في Windows.

بعد تحديث جميع أجهزة العميل والخادم، يمكنك تمكين الحماية الكاملة من خلال نشر وضع الإنفاذ. اتبع هذه الخطوات للقيام بذلك:

  1. انقر بزر الماوس الأيمن فوق البدء، وانقر فوق "تشغيل"، واكتب cmd في المربع "تشغيل" ، ثم اضغط على Ctrl+Shift+Enter.
  2. في موجه أوامر المسؤول، اكتب regedit ثم اضغط على مفتاح الإدخال Enter.
  3. حدد موقع مفتاح السجل الفرعي التالي:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print

  1. انقر بزر الماوس الأيمن فوق "طباعة" واختر "جديد"، ثم انقر فوق قيمة DWORD (32 بت).
  2. اكتب RpcAuthnLevelPrivacyEnabled ثم اضغط على مفتاح الإدخال Enter.
  3. انقر بزر الماوس الأيمن فوق RpcAuthnLevelPrivacyEnabled ثم انقر فوق تعديل.
  4. في المربع "بيانات القيمة "، اكتب 1 ثم انقر فوق موافق.

ملاحظة يقدم هذا التحديث دعما لقيمة التسجيل RpcAuthnLevelPrivacyEnabled لزيادة مستوى التفويض للطابعة IRemoteWinspool.

مفتاح التسجيل الفرعي HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print
Value RpcAuthnLevelPrivacyEnabled
نوع البيانات REG_DWORD
بيانات 1: تمكين وضع التنفيذ . قبل تمكين وضع التنفيذ من جانب الخادم، تأكد من تثبيت تحديث Windows الذي تم إصداره في 12 يناير 2021 أو تحديث Windows لاحق على جميع أجهزة العميل. يزيد هذا الإصلاح من مستوى التخويل لواجهة IRemoteWinspool RPC للطابعة ويضيف قيمة جديدة للنهج والتسجيل من جانب الخادم لفرض على العميل استخدام مستوى التفويض الجديد إذا تم تطبيق وضع التنفيذ . إذا لم يكن جهاز العميل يحتوي على تحديث الأمان ليوم 12 يناير 2021 أو تحديث Windows أحدث مطبق، فسيتم قطع تجربة الطباعة عندما يتصل العميل بالخادم من خلال واجهة IRemoteWinspool .
0: غير مستحسن. يعطل زيادة مستوى المصادقة للطابعة IRemoteWinspool، وتكون أجهزتك غير محمية.
افتراضي السلوك الافتراضي بعد تثبيت التحديثات عند عدم تعيين مفتاح التسجيل:
  • يكون السلوك الافتراضي لتحديثات 12 يناير 2021 أو الإصدارات اللاحقة هو 0 (صفر) عند عدم التعيين.
  • يكون سلوك تحديثات 14 سبتمبر 2021 أو التحديثات اللاحقة 1 ( واحد) عند عدم تعيينها.
هل إعادة التشغيل مطلوبة؟ نعم، يلزم إعادة تشغيل الجهاز أو إعادة تشغيل خدمة المخزن المؤقت.