Printeri RPC sidumise muudatuste juurutamise haldamine CVE-2021-1678 jaoks (KB4599464)

Kokkuvõte

Turbeeralduse nõrkus on olemas viisis, kuidas printeri kaugprotseduurikutse (RPC) sidumine töötleb Autentimist Winspooli kaugliidese jaoks. Windowsi värskendus kõrvaldab selle nõrkuse, suurendades RPC autentimistaset ja tutvustades uut poliitikat ja registrivõtit, et kliendid saaksid autentimistaseme suurendamiseks jõustamisrežiimi serveripoolses osas keelata või lubada.

Haavatavuse kohta leiate lisateavet artiklist CVE-2021-1678 | Windowsi prindispuuleri tüsistamisnõrkus.

Toiming Keskkonna kaitsmiseks ja katkestuste vältimiseks peate tegema järgmist. Kõigi klient- ja serveriseadmete värskendamiseks installige 12. jaanuari 2021 Windowsi värskendus või uuem Windowsi värskendus. Võtke arvesse, et Windowsi värskenduse installimine ei leevenda täielikult turbenõrkust ja võib mõjutada teie praegust prindihäälestust. Peate sooritama 2. juhise. Jõustamisrežiimi lubamine prindiserveris. Jõustamisrežiim lubatakse kõigis Windowsi seadmetes mõnel tulevikus.

Värskenduste ajastus

Need Windowsi värskendused antakse välja kahes etapis.

• Windowsi värskenduste algne juurutamise etapp, mis anti välja 12. jaanuaril 2021 või hiljem.
• Windowsi värskenduste jõustamise etapp antakse välja mõnel tulevikus.

12. jaanuar 2021: algne juurutamise etapp

Algne juurutusetapp algab Windowsi värskendusega, mis anti välja 12. jaanuaril 2021, andes serveriklientidele võimaluse lubada seda suuremat turbetaset oma keskkonna valmisoleku põhjal.

See väljalase:

• Lahendatud on CVE-2021-1678 ( juurutusrežiimis on vaikimisi väljas ).
• Lisab RpcAuthnLevelPrivacyEnabled registriväärtuse toe, et lubada printeri IRemoteWinspooli kaitse autoriseerimistaseme tõstmine.

Leevendus seisneb Windowsi värskenduste installimises kõigis klient- ja serveritaseme seadmetes.

14. september 2021: jõustamise etapp

Üleminek jõustamisetapile 14. septembril 2021.  Jõustamisetapp jõustab CVE-2021-1678 muutmise, suurendades autoriseerimistaset ilma registriväärtust seadmata.

Installijuhised

Enne selle värskenduse installimist

Enne selle värskenduse rakendamist peavad teil olema installitud järgmised nõutavad värskendused. Kui kasutate Windows Update, pakutakse neid nõutavaid värskendusi vastavalt vajadusele automaatselt.

• Teil peab olema installitud SHA-2 värskendus (KB4474419), mis on välja antud 23. septembril 2019 või uuem versioon ja seejärel taaskäivitage seade enne selle värskenduse rakendamist. Lisateavet SHA-2 värskenduste kohta leiate teemast 2019 SHA-2 koodi allkirjastamise toe nõue Windowsi ja WSUS-i jaoks.
• Windows Server 2008 R2 SP1 jaoks peab teil olema installitud hoolduspinu värskendus (SSU) (KB4490628), mis on välja lülitatud 12. märtsil 2019. Kui värskendus KB4490628 on installitud, soovitame installida uusima SSU värskenduse. Uusima SSU värskenduse kohta leiate lisateavet artiklist ADV990001 | Uusim hoolduspinu Teabevärskendused.
• Windows Server 2008 SP2 jaoks peab teil olema installitud hoolduspinu värskendus (SSU) (KB4493730), mis on välja lülitatud 9. aprillil 2019. Pärast värskenduse KB4493730 installimist soovitame installida uusima SSU värskenduse. Uusimate SSU värskenduste kohta leiate lisateavet artiklist ADV990001 | Uusim hoolduspinu Teabevärskendused.
• Kliendid peavad ostma pikendatud turbevärskenduse (ESU) Windows Server 2008 SP2 või Windows Server 2008 R2 SP1 kohapealsete versioonide jaoks pärast pikendatud toe lõppemist 14. jaanuaril 2020. ESU ostnud kliendid peavad turbevärskenduste saamiseks järgima KB4522133 juhiseid. Lisateavet ESU ja selle kohta, milliseid väljaandeid toetatakse, leiate artiklist KB4497181.

Tähtis. Pärast nõutavate värskenduste installimist peate oma seadme taaskäivitama.

Installi värskendus

Turbenõrkuse lahendamiseks installige Windowsi värskendused ja lubage jõustamisrežiim , tehes järgmist.

1. Juurutage 12. jaanuari 2021 värskendus kõigile klient- ja serveriseadmetele.
2. Pärast kõigi klient- ja serveriseadmete värskendamist saab täieliku kaitse lubada, määrates registri väärtuseks 1.

1. toiming: Windowsi värskenduse installimine

Installige 12. jaanuari 2021 Windowsi värskendus või uuem Windowsi värskendus kõigile klient- ja serveriseadmetele.

12. jaanuari 2021 värskendused

Windows Server toode	KB #	Värskenduse tüüp
Windows Server, versioon 20H2 (Serveri tuumainstall)	4598242	Turbevärskendus
Windows Server, versioon 2004 (Serveri tuumainstall)	4598242	Turbevärskendus
Windows Server, versioon 1909 (Serveri tuuma install)	4598229	Turbevärskendus
Windows Server, versioon 1903 (serveri tuumainstall)	4598229	Turbevärskendus
Windows Server 2019 (Serveri tuuma installimine)	4598230	Turbevärskendus
Windows Server 2019	4598230	Turbevärskendus
Windows Server 2016 (Serveri tuumainstall)	4598243	Turbevärskendus
Windows Server 2016	4598243	Turbevärskendus
Windows Server 2012 R2 (Serveri tuumainstall)	4598285	Igakuine värskenduskomplekt
	4598275	Ainult turvalisus
Windows Server 2012 R2	4598285	Igakuine värskenduskomplekt
	4598275	Ainult turvalisus
Windows Server 2012 (Serveri tuuma install)	4598278	Igakuine värskenduskomplekt
	4598297	Ainult turvalisus
Windows Server 2012	4598278	Igakuine värskenduskomplekt
	4598297	Ainult turvalisus
Windows Server 2008 R2 hoolduspakett 1	4598279	Igakuine värskenduskomplekt
	4598289	Ainult turvalisus
Windows Server 2008 hoolduspakett SP2	4598288	Igakuine värskenduskomplekt
	4598287	Ainult turvalisus

2. juhis: jõustamisrežiimi lubamine

Tähtis See jaotis, meetod või ülesanne sisaldab etappe, mis annavad teile teada, kuidas registrit muuta. Kui muudate registrit valesti, võivad ilmneda tõsised probleemid. Seetõttu veenduge, et järgite neid juhiseid väga hoolikalt. Täiendava kaitse jaoks varundage register kindlasti enne muutmist. See võimaldab registri probleemide korral taastada. Registri varundamise ja taastamise kohta leiate lisateavet artiklist Registri varundamine ja taastamine Windowsis.

Kui kõik klient- ja serveriseadmed on värskendatud, saate jõustamisrežiimi juurutamisega lubada täieliku kaitse. Selleks tehke järgmist.

1. Paremklõpsake nuppu Start, klõpsake käsku Käivita, tippige väljale Käivitatekst cmd ja vajutage siis klahvikombinatsiooni Ctrl+Shift Enter+.
2. Tippige administraatori käsuviibas tekst regedit ja vajutage sisestusklahvi (Enter).
3. Otsige üles järgmine registri alamvõti:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print

1. Paremklõpsake käsku Prindi, valige Uus ja seejärel klõpsake käsku DWORD VALUE (32-bitine) Väärtus.
2. Tippige tekst RpcAuthnLevelPrivacyEnabled ja vajutage sisestusklahvi (Enter).
3. Paremklõpsake väärtust RpcAuthnLevelPrivacyEnabled ja seejärel klõpsake käsku Muuda.
4. Tippige väljale Väärtuseandmedväärtus 1 ja klõpsake nuppu OK.

Märkus See värskendus sisaldab RpcAuthnLevelPrivacyEnabled registriväärtuse tuge printeri IRemoteWinspool autoriseerimistaseme suurendamiseks.

Registri alamvõti	HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print
Value (Väärtus)	RpcAuthnLevelPrivacyEnabled
Andmetüüp	REG_DWORD
Andmed	1. Lubab jõustamisrežiimi . Enne serveripoolse jõustamisrežiimi lubamist veenduge, et kõik klientseadmed on installinud Windowsi värskenduse, mis on välja antud 12. jaanuaril 2021 või uuemas Windowsi värskenduses. See parandus suurendab printeri IRemoteWinspool RPC liidese autoriseerimistaset ja lisab serveri poolele uue poliitika ja registriväärtuse, et jõustada kliendil kasutada jõustamisrežiimi rakendamisel uut autoriseerimistaset. Kui klientseadmes pole 12. jaanuari 2021 turbevärskendust või uuemat Windowsi värskendust rakendatud, siis printimisfunktsioon katkeb, kui klient loob serveriga ühenduse IRemoteWinspooli liidese kaudu. 0: pole soovitatav. Keelab printeri IRemoteWinspool suurema autentimistaseme ja teie seadmed pole kaitstud.
Vaikesäte	Vaikekäitumine pärast värskenduste installimist, kui registrivõtit pole määratud: 12. jaanuari 2021 või uuemate värskenduste vaikekäitumine on 0 (null), kui seda pole määratud. 14. septembril 2021 või hilisematel värskendustel on vaikekäitumine 1 (üks), kui seda pole määratud.
Kas taaskäivitamine on nõutav?	Jah, nõutav on seadme taaskäivitamine või spuuleriteenuse taaskäivitamine.