Souhrn
Aktualizace zabezpečení vydané 6. července 2021 a později obsahují ochranu pro ohrožení zabezpečení při vzdáleném spuštění kódu ve službě Služba zařazování tisku Windows (spoolsv.exe) označované jako "PrintNightmare", které je popsané v CVE-2021-34527. Po instalaci aktualizace z července 2021 a novějších nemůžou nesprávci, včetně delegovaných skupin správců, jako jsou operátoři tiskáren, instalovat podepsané a nepodepsané ovladače tiskáren na tiskový server. Ve výchozím nastavení můžou podepsané i nepodepsané ovladače tiskárny na tiskový server instalovat jenom správci.
Poznámka Před instalací aktualizace z července 2021 mimo pásmo a novějších aktualizací Windows obsahujících ochranu pro CVE-2021-34527 může skupina zabezpečení operátorů tiskáren nainstalovat na tiskový server podepsané i nepodepsané ovladače tiskárny. Počínaje mimopásmovou aktualizací z července 2021 budou k instalaci podepsaných a nepodepsaných ovladačů tiskárny na tiskový server vyžadovány přihlašovací údaje správce. Pokud chcete přepsat všechna nastavení zásad skupiny Omezení funkce Ukázat a tisknout a zajistit, aby ovladače tiskáren na tiskový server mohli instalovat jenom správci, nakonfigurujte hodnotu registru RestrictDriverInstallationToAdministrators na hodnotu 1.
Doporučujeme, abyste si do všech podporovaných klientských a serverových operačních systémů Windows okamžitě nainstalovali nejnovější aktualizace Windows vydané 6. července 2021 nebo později, počínaje zařízeními, která jsou aktuálně hostiteli služby zařazování tisku. Dále nastavte možnosti Při instalaci ovladačů pro nové připojení a Při aktualizaci ovladačů pro existující připojení v nastavení Zásady skupiny Omezení funkce Ukázat a tisknout na Zobrazit upozornění a výzvu ke zvýšení oprávnění.
Řešení
- Nainstalujte si aktualizaci z července 2021 nebo novější.
- Zkontrolujte, jestli jsou splněné následující podmínky:
Nastavení registru: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint
- NoWarningNoElevationOnInstall = 0 (DWORD) nebo není definováno (výchozí nastavení)
- UpdatePromptSettings = 0 (DWORD) nebo nedefinováno (výchozí nastavení)
Zásady skupiny: Zásady skupiny Omezení funkce Ukázat a tisknout jste nenakonfigurovali.
Pokud jsou splněné obě podmínky, nejste ohroženi chybou zabezpečení CVE-2021-34527 a není nutná žádná další akce. Pokud některá z podmínek splněná není, jste zranitelní. Pomocí následujících kroků změňte Zásady skupiny Omezení funkce Ukázat a tisknout na zabezpečenou konfiguraci.
Otevřete nástroj editor zásad skupiny a přejděte na Konfigurace> počítačeŠablony> pro správutiskáren.
Následujícím způsobem nakonfigurujte nastavení Zásady skupiny Omezení funkce Ukázat a tisknout:
- Nastavte nastavení Zásady skupiny Omezení funkce Ukázat a tisknout na hodnotu Povoleno.
- "Při instalaci ovladačů pro nové připojení": "Zobrazit upozornění a výzvu ke zvýšení oprávnění".
- "Při aktualizaci ovladačů pro existující připojení": "Zobrazit upozornění a výzvu ke zvýšení oprávnění".
Důležité Důrazně doporučujeme, abyste tuto zásadu uplatňovali na všech počítačích, které hostují službu zařazování tisku.
Požadavky na restartování: Tato změna zásad nevyžaduje po použití těchto nastavení restartování zařízení nebo služby zařazování tisku.
3. Pomocí následujících klíčů registru potvrďte, že byly dané Zásady skupiny správně použity:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint
- NoWarningNoElevationOnInstall = 0 (DWORD)
- UpdatePromptSettings = 0 (DWORD)
Upozornění Při jejich nastavení na nenulové hodnoty budou zařízení, na která jste nainstalovali aktualizaci CVE-2021-34527, zranitelná.
Poznámka Konfigurací tohoto nastavení se funkce Ukázat a tisknout nezakáže.
4. [Doporučeno] Přepište omezení funkce Ukázat a tisknout, aby ovladače tisku mohli na tiskové servery instalovat pouze správci. To se provádí pomocí klíče registru RestrictDriverInstallationToAdministrators. Aktualizace vydané 6. července 2021 nebo později mají výchozí hodnotu 0 (zakázáno) až do vydání aktualizací 10. srpna 2021. Aktualizace vydané 10. srpna 2021 nebo novější mají výchozí hodnotu 1 (povoleno). Další informace o tom, jak nastavit RestrictDriverInstallationToAdministrators , a další doporučení související s tiskem najdete v tématu KB5005652 – Správa nového chování instalace výchozího ovladače funkce Ukázat a tisknout (CVE-2021-34481)
Další informace
Mají opravy chyby CVE-2021-34527 vliv na výchozí scénář instalace ovladače funkce Ukázat a tisknout pro klientské zařízení, které se připojuje a instaluje ovladač tisku pro sdílenou síťovou tiskárnu?
Ne, opravy chyby zabezpečení CVE-2021-34527 nemají přímý vliv na výchozí scénář instalace ovladače funkce Ukázat a tisknout pro klientské zařízení, které se připojuje a instaluje ovladač tisku pro sdílenou síťovou tiskárnu. V takovém případě se klientské zařízení připojí k tiskovému serveru a stáhne a nainstaluje ovladače z tohoto důvěryhodného serveru. Tento scénář se liší od ohroženého scénáře, kdy se útočník pokouší nainstalovat škodlivý ovladač na samotný tiskový server, a to buď místně, nebo vzdáleně.