KB5005652 : gérer le nouveau comportement d’installation du pilote par défaut de Point et imprimer (CVE-2021-34481)

Résumé

Les mises à jour Windows publiées le 10 août 2021 et ultérieures nécessiteront, par défaut, des privilèges administratifs pour installer les pilotes. Nous avons apporté cette modification au comportement par défaut pour résoudre le risque sur tous les appareils Windows, y compris les appareils qui n’utilisent pas la fonctionnalité Pointer et imprimer ou imprimer. Pour plus d’informations, consultez la page Pointer et imprimer sur la modification du comportement par défaut et CVE-2021-34481.

Par défaut, les utilisateurs non-administrateurs ne pourront plus effectuer les opérations suivantes à l’aide des commandes Pointer et Imprimer sans l’octroi d’une élévation de privilèges au niveau d’administrateur :

  • Installer de nouvelles imprimantes à l’aide de pilotes sur un ordinateur ou un serveur distant
  • Mettez à jour les pilotes d’imprimante existants à l’aide de pilotes provenant d’un ordinateur ou d’un serveur distant

Remarque Si vous n’utilisez pas les commandes Pointer et Imprimer, vous ne devriez pas être affecté par cette modification et serez protégé par défaut après l’installation des mises à jour publiées le 10 août 2021 ou une version ultérieure.

Important Les clients d’impression de votre environnement doivent avoir une mise à jour publiée le 12 janvier 2021 ou une version ultérieure avant d’installer les mises à jour publiées le 14 septembre 2021.  Pour plus d’informations, consultez la Q2 de la section « Forum Aux Questions » ci-dessous.

Modifier le comportement d’installation du pilote par défaut à l’aide d’une clé de Registre

Vous pouvez modifier ce comportement par défaut à l’aide de la clé de Registre indiquée dans le tableau ci-dessous. Toutefois, soyez très prudent lorsque vous utilisez la valeur zéro (0), car cela rend les appareils vulnérables. Si vous devez utiliser la valeur de registre 0 dans votre environnement, nous vous recommandons de l’utiliser temporairement pendant que vous ajustez votre environnement pour permettre aux appareils Windows d’utiliser la valeur de un (1).

Emplacement du Registre HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint
Nom du travail RestrictDriverInstallationToAdministrators
Données de la valeur Valeur par défaut : La définition de cette valeur sur 1 ou si la clé n’est pas définie ou n’est pas présente, nécessite le privilège d’administrateur pour installer un pilote d’imprimante lors de l’utilisation des commandes Pointer et imprimer. Cette clé de Registre remplace tous les paramètres de la stratégie de groupe Restrictions Pointer et imprimer et garantit que seuls les administrateurs peuvent installer des pilotes d’imprimante à partir d’un serveur d’impression à l’aide de Point et Imprimer.
La définition de la valeur 0 permet aux non-administrateurs d’installer des pilotes signés et non signés sur un serveur d’impression, mais ne remplace pas les paramètres de la stratégie de groupe Pointer et imprimer. Par conséquent, les paramètres de la stratégie de groupe Restrictions Pointer et imprimer peuvent remplacer ce paramètre de clé de Registre pour empêcher les non-administrateurs d’installer des pilotes d’impression signés et non signés à partir d’un serveur d’impression. Certains administrateurs peuvent définir la valeur sur 0 pour permettre aux non-administrateurs d’installer et de mettre à jour les pilotes après avoir ajouté des restrictions supplémentaires, notamment l’ajout d’un paramètre de stratégie qui limite l’emplacement à partir duquel les pilotes peuvent être installés.
Important Il n’existe aucune combinaison de mesures d’atténuation qui équivaut à définir RestrictDriverInstallationToAdministrators sur 1.
Remarque Mises à jour publiées le 6 juillet 2021 ou une version ultérieure ont une valeur par défaut de 0 (désactivé) jusqu’à l’installation des mises à jour publiées le 10 août 2021 ou une version ultérieure. Les mises à jour publiées le 10 août 2021 ou une version ultérieure ont la valeur par défaut 1 (activé).
Exigences en matière de redémarrage Aucun redémarrage n’est nécessaire lors de la création ou de la modification de cette valeur de Registre.

Remarque Les mises à jour Windows ne définissent ni ne modifient la clé de Registre. Vous pouvez définir la clé de Registre avant ou après l’installation des mises à jour publiées le 10 août 2021 ou ultérieurement.

Automatiser l’ajout de la valeur de Registre RestrictDriverInstallationToAdministrators

Pour automatiser l’ajout de la valeur de Registre RestrictDriverInstallationToAdministrators, procédez comme suit :

  1. Ouvrez une fenêtre d’invite de commandes (cmd.exe) avec des autorisations élevées.
  2. Tapez la commande suivante, puis appuyez sur Entrée :
    reg add « HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint » /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 1 /f

Définir RestrictDriverInstallationToAdministrators à l’aide de la stratégie de groupe

Après avoir installé les mises à jour publiées le 12 octobre 2021 ou une version ultérieure, vous pouvez également définir RestrictDriverInstallationToAdministrators à l’aide d’une stratégie de groupe, en suivant les instructions suivantes :

  1. Ouvrez l’outil Éditeur de stratégie de groupe et accédez à Configuration de l’ordinateur>, Utilisateursde modèles> d’administration.
  2. Définissez le paramètre Limites d’installation du pilote d’impression sur Administrateurs sur « Activé ». La valeur de Registre de RestrictDriverInstallationToAdministrators est définie sur 1.

Installer les pilotes d’impression lorsque le nouveau paramètre par défaut est appliqué

Si vous définissez RestrictDriverInstallationToAdministrators sur Non défini ou sur 1, selon votre environnement, les utilisateurs doivent utiliser l’une des méthodes suivantes pour installer les imprimantes :

  • Fournissez un nom d’utilisateur et un mot de passe d’administrateur lorsque vous êtes invité à entrer des informations d’identification lors de la tentative d’installation d’un pilote d’imprimante.
  • Incluez les pilotes d’imprimante nécessaires dans l’image du système d’exploitation.
  • Définissez temporairement RestrictDriverInstallationToAdministrators sur 0 pour installer les pilotes d’imprimante.

Remarque Si vous ne pouvez pas installer de pilotes d’imprimante, même avec le privilège d’administrateur, vous devez désactiver la stratégie de groupe Utiliser uniquement le paramètre Pointer et imprimer le package.

Les atténuations suivantes peuvent aider à sécuriser tous les environnements, mais surtout si vous devez définir RestrictDriverInstallationToAdministrators sur 0. Ces atténuations ne corrigent pas entièrement les vulnérabilités décrites dans l’avis CVE-2021-34481.

Important Il n’existe aucune combinaison de mesures d’atténuation qui équivaut à définir RestrictDriverInstallationToAdministrators sur 1.

Vérifiez que RpcAuthnLevelPrivacyEnabled est défini sur 1 ou n’est pas défini

Vérifiez que RpcAuthnLevelPrivacyEnabled est défini sur 1 ou n’est pas défini comme décrit dans Gestion du déploiement des modifications concernant la liaison RPC de l’imprimante pour CVE-2021-1678 (KB4599464).

Vérifiez que les requêtes de sécurité sont activées pour Pointer et imprimer

Vérifiez que les Requêtes de sécurité sont activés pour les commandes Pointer et Imprimer, comme décrit dans KB5005010 : restriction de l’installation de nouveaux pilotes d’imprimante après l’application des mises à jour du 6 juillet 2021.

Autoriser les utilisateurs à se connecter uniquement à des serveurs d’impression spécifiques auxquels vous faites confiance

Cette stratégie, les restrictions Pointer et imprimer, s’applique aux imprimantes Pointer et imprimer qui utilisent un pilote hors package sur le serveur.

Procédez comme suit :

  1. Ouvrez la console de gestion de la stratégie de groupe (GPMC).
  2. Dans l’arborescence de la console GPMC, accédez au domaine ou à l’unité d’organisation qui stocke les comptes d’utilisateur pour lesquels vous souhaitez modifier les paramètres de sécurité du pilote d’imprimante.
  3. Cliquez avec le bouton droit sur le domaine ou l’unité d’organisation approprié, puis cliquez sur Créer un GPO dans ce domaine et liez-le ici. Tapez un nom pour le nouvel objet de stratégie de groupe (GPO), puis cliquez sur OK.
  4. Cliquez avec le bouton droit sur l’objet GPO que vous avez créé, puis cliquez sur Modifier.
  5. Dans la fenêtre Éditeur de gestion de la stratégie de groupe, cliquez sur Configuration ordinateur, sur Stratégies, sur Modèles d’administration, puis sur Imprimantes.
  6. Cliquez avec le bouton droit sur Restrictions Pointer et imprimer, puis cliquez sur Modifier.
  7. Dans la boîte de dialogue Restrictions Pointer et imprimer , cliquez sur Activé.
  8. Activez la case à cocher Les utilisateurs ne peuvent pointer et imprimer vers ces serveurs que si elle n’est pas déjà cochée.
  9. Entrez les noms de serveurs complets. Séparez chaque nom à l’aide d’un point-virgule (;).
    Remarque Après avoir installé les mises à jour publiées le 21 septembre 2021 ou ultérieurement, vous pouvez configurer cette stratégie de groupe avec un point ou un point (.) les adresses IP délimitées de manière interchangeable avec des noms d’hôte complets.
  10. Dans la zone Lors de l’installation des pilotes pour une nouvelle connexion , sélectionnez Afficher l’avertissement et l’invite élevée.
  11. Dans la zone Lors de la mise à jour des pilotes d’une connexion existante , sélectionnez Afficher l’avertissement et l’invite élevée.
  12. Cliquez sur OK.

Autoriser les utilisateurs à se connecter uniquement à des serveurs spécifiques Pointer et imprimer des packages en lesquels vous avez confiance

Cette stratégie, Pointer et imprimer un package - Serveurs approuvés, limitera le comportement du client pour autoriser uniquement les connexions Pointer et imprimer à des serveurs définis qui utilisent des pilotes de package.

Procédez comme suit :

  1. Sur le contrôleur de domaine, sélectionnez Démarrer, puis Outils d’administration, puis Gestion des stratégies de groupe. Vous pouvez également sélectionner Démarrer, puis Exécuter, taper GPMC.MSC, puis appuyer sur Entrée.

  2. Développez la forêt, puis les domaines.

  3. Sous votre domaine, sélectionnez l’unité d’organisation où vous souhaitez créer cette stratégie.

  4. Cliquez avec le bouton droit sur l’unité d’organisation, puis sélectionnez Créer un GPO dans ce domaine et liez-le ici.

  5. Donnez un nom à l’objet de stratégie de groupe et cliquez sur OK.

  6. Cliquez avec le bouton droit sur l’objet de stratégie de groupe nouvellement créé, puis sélectionnez Modifier pour ouvrir l’Éditeur de gestion de la stratégie de groupe.

  7. Dans l’Éditeur de gestion de la stratégie de groupe, développez les dossiers suivants :

    1. Ordinateur configuration
    2. Stratégies
    3. Modèles d’administration
    4. Stratégies de l’ordinateur local
    5. Printers

  8. Activez Pointer et imprimer un package - Serveurs approuvés et sélectionnez le bouton Afficher...

  9. Entrez les noms de serveurs complets. Séparez chaque nom à l’aide d’un point-virgule (;).
    Remarque Après avoir installé les mises à jour publiées le 21 septembre 2021 ou ultérieurement, vous pouvez configurer cette stratégie de groupe avec un point ou un point (.) les adresses IP délimitées de manière interchangeable avec des noms d’hôte complets.

Forum aux questions

Q1 : Chaque fois que j’essaie d’imprimer, je reçois une invite disant « Faites-vous confiance à cette imprimante », et cela nécessite des informations d’identification d’administrateur pour continuer.  Est-ce prévu ?

R1 : Il n’est pas attendu d’être invité à entrer pour chaque travail d’impression. La majorité des environnements ou appareils qui rencontrent ce problème seront résolus en installant les mises à jour publiées le 12 octobre 2021 ou une version ultérieure.  Ces mises à jour corrigent un problème lié aux serveurs d’impression et aux clients d’impression qui ne se trouvent pas dans le même fuseau horaire.

Si vous rencontrez toujours ce problème après l’installation des mises à jour publiées le 12 octobre 2021 ou ultérieurement, vous devrez peut-être contacter le fabricant de votre imprimante pour obtenir les pilotes mis à jour.  Ce problème peut également se produire lorsqu’un pilote d’impression sur le client d’impression et le serveur d’impression utilisent le même nom de fichier, mais que le serveur dispose d’une version plus récente du fichier de pilote. Lorsque le client d’impression se connecte au serveur d’impression, il trouve un fichier de pilote plus nouveau et est invité à mettre à jour les pilotes sur le client d’impression. Toutefois, le fichier du package proposé pour l’installation n’inclut pas la nouvelle version du fichier de pilote.

Les fichiers comparés sont les pilotes du dossier spoule, généralement dans C :\Windows\System32\spool\drivers\x64\3 sur le client d’impression et le serveur d’impression.  Le package de pilotes proposé pour l’installation se trouve généralement dans C :\Windows\System32\spool\drivers\x64\PCC sur le serveur d’impression.  Une fois que les fichiers du dossier \3 sont comparés entre les appareils, s’ils ne correspondent pas, le package dans PCC est installé.  Si les fichiers du dossier \3 du serveur d’impression ne proviennent pas du même pilote d’imprimante que PCC propose au client, le client d’impression compare les fichiers et trouve la différence à chaque impression.

Pour atténuer ce problème, vérifiez que vous utilisez les pilotes les plus récents pour tous vos périphériques d’impression.  Dans la mesure du possible, utilisez la même version du pilote d’impression sur le client d’impression et le serveur d’impression. Si la mise à jour des pilotes dans votre environnement ne résout pas le problème, contactez le support technique de votre fabricant d’imprimantes (OEM).

Q2 : J’ai installé les mises à jour publiées le 14 septembre 2021 et certains appareils Windows ne peuvent pas imprimer sur les imprimantes réseau.  Y a-t-il une commande pour que j’installe les mises à jour sur les clients et les serveurs d’impression ?

R2 : Avant d’installer les mises à jour publiées le 14 septembre 2021 ou une version ultérieure sur les serveurs d’impression, les clients d’impression doivent avoir installé les mises à jour publiées le 12 janvier 2021 ou une version ultérieure. Les appareils Windows n’imprimeront pas s’ils n’ont pas installé de mise à jour publiée le 12 janvier 2021 ou une version ultérieure.

Remarque Vous n’avez pas besoin d’installer les mises à jour antérieures et vous pouvez installer n’importe quelle mise à jour après le 12 janvier 2021 sur les clients d’impression.  Nous vous recommandons d’installer la dernière mise à jour cumulative sur les clients et les serveurs.

Ressources