ניהול פריסה של שינויי כריכת RPC של המדפסת עבור CVE-2021-1678 (KB4599464)

חל על
Windows Server 2008 Service Pack 2 Windows Server 2008 R2 Service Pack 1 Windows Server 2012 Windows Server 2012 R2 Windows Server version 1809 Windows Server version 1903 Windows Server version 1909 Windows Server 2016, all editions Windows Server 2019 Windows Server version 2004 Windows Server version 20H2

סיכום

קיימת פגיעות של מעקף אבטחה באופן שבו איגוד קריאה לפרוצדורה מרוחקת של מדפסת (RPC) מטפל באימות עבור ממשק Winspool המרוחק. עדכון Windows מטפל בפגיעות זו על-ידי הגדלת רמת האימות של RPC והצגת מדיניות ומפתח רישום חדשים כדי לאפשר ללקוחות להפוך את מצב אכיפה ללא זמין או לזמין בצד השרת כדי להגדיל את רמת האימות.

לקבלת מידע נוסף על הפגיעות, ראה CVE-2021-1678 | פגיעות של זיוף מנגנון הדפסה ברקע של Windows.

נקוט פעולה

כדי להגן על הסביבה שלך ולמנוע הפסקות חשמל, עליך לבצע את הפעולות הבאות:
  1. עדכן את כל התקני הלקוח והשרת על-ידי התקנת עדכון Windows של 12 בינואר 2021 או עדכון מאוחר יותר של Windows. שים לב שהתקנת Windows Update אינה מצמצמת לחלוטין את פגיעות האבטחה ועשויה להשפיע על הגדרת ההדפסה הנוכחית שלך. עליך לבצע את שלב 2.
  2. הפוך מצב אכיפה לזמין בשרת ההדפסה. מצב אכיפה יהיה זמין בכל מכשירי Windows במועד כלשהו בעתיד.

תזמון העדכונים

עדכונים אלה של Windows יופצו בשני שלבים:

  • שלב הפריסה הראשוני עבור עדכוני Windows שהופצו ב- 12 בינואר 2021 או לאחר מכן.
  • שלב האכיפה עבור עדכוני Windows שפורסמו במועד כלשהו בעתיד.

12 בינואר 2021: שלב הפריסה הראשונית

שלב הפריסה הראשוני מתחיל בעדכון Windows שהופץ ב- 12 בינואר 2021 על-ידי מתן היכולת ללקוחות שרת לאפשר רמת אבטחה מוגברת זו בעצמם בהתבסס על מוכנות הסביבה שלהם.

מהדורה זו:

  • כתובות CVE-2021-1678 (במצב פריסה מוגדר כבוי כברירת מחדל).
  • הוספת תמיכה עבור ערך הרישום RpcAuthnLevelPrivacyEnabled כדי לאפשר את הגדלת רמת ההרשאה עבור הגנת IRemoteWinspool של מדפסת.

צמצום הסיכונים מורכב מהתקנת עדכוני Windows בכל המכשירים ברמת הלקוח והשרת.

14 בספטמבר 2021: שלב האכיפה

המהדורה עוברת לשלב האכיפה ב- 14 בספטמבר 2021. שלב האכיפה אוכף את השינויים לכתובת CVE-2021-1678 על-ידי הגדלת רמת ההרשאה ללא צורך להגדיר את ערך הרישום.

הנחיות התקנה

לפני התקנת עדכון זה

עליך להתקין את העדכונים הנדרשים הבאים לפני החלת עדכון זה. אם אתה משתמש ב- Windows Update, עדכונים נדרשים אלה יוצע לך באופן אוטומטי, בהתאם לצורך.

  • עליך להתקין את עדכון SHA-2 (KB4474419) שפורסם ב- 23 בספטמבר, 2019 או עדכון SHA-2 מאוחר יותר ולאחר מכן להפעיל מחדש את המכשיר לפני החלת עדכון זה. לקבלת מידע נוסף אודות עדכוני SHA-2, ראה ‎דרישת תמיכה בחתימת קוד SHA-2 לשנת ‏2019 עבור Windows ו- WSUS.
  • עבור Windows Server 2008 R2 SP1, עליך להתקין את עדכון מערום השירות (SSU) (KB4490628) שפורסם ב- 12 במרץ 2019. לאחר התקנת עדכון KB4490628 , מומלץ להתקין את עדכון ה- SSU האחרון. לקבלת מידע נוסף אודות עדכון ה- SSU האחרון, ראה ADV990001 | עדכונים חבילת השירות האחרונים.
  • עבור Windows Server 2008 SP2, עליך להתקין את עדכון מערום השירות (SSU) (KB4493730) שפורסם ב- 9 באפריל, 2019. לאחר התקנת עדכון KB4493730 , מומלץ להתקין את עדכון ה- SSU האחרון. לקבלת מידע נוסף אודות עדכוני SSU האחרונים, ראה ADV990001 | עדכונים חבילת השירות האחרונים.
  • לקוחות נדרשים לרכוש את עדכון האבטחה המורחב (ESU) עבור גרסאות מקומיות של Windows Server 2008 SP2 או Windows Server 2008 R2 SP1 לאחר שהתמיכה המורחבת הסתיימה ב- 14 בינואר, 2020. לקוחות שרכשו את עדכון האבטחה המורחב (ESU) חייבים לפעול בהתאם להליכים המפורטים במאמר KB4522133 כדי להמשיך לקבל עדכוני אבטחה. לקבלת מידע נוסף אודות ESU והמהדורות הנתמכות, ראה KB4497181.

חשוב עליך להפעיל מחדש את המכשיר לאחר התקנת העדכונים הנדרשים.

התקן את העדכון

כדי לפתור את פגיעות האבטחה, התקן את העדכונים של Windows והפעל את מצב האכיפה על-ידי ביצוע השלבים הבאים:

  1. פרוס את העדכון של 12 בינואר 2021 בכל מכשירי הלקוח והשרת.
  2. לאחר עדכון כל התקני הלקוח והשרת, ניתן להפוך הגנה מלאה לזמינה על-ידי הגדרת ערך הרישום ל - 1.

שלב 1: התקן את Windows Update

התקן את עדכון Windows של 12 בינואר 2021 או עדכון Windows מאוחר יותר לכל מכשירי הלקוח והשרת.

עדכונים ל- 12 בינואר 2021
מוצר Windows Server מאמר KB # סוג עדכון
Windows Server, גרסה 20H2 (התקנת Server Core) 4598242 עדכון אבטחה
Windows Server, גירסה 2004 (התקנת Server Core) 4598242 עדכון אבטחה
Windows Server, גרסה 1909 (התקנת Server Core) 4598229 עדכון אבטחה
Windows Server, גרסה 1903 (התקנת Server Core) 4598229 עדכון אבטחה
Windows Server 2019 (התקנת Server Core) 4598230 עדכון אבטחה
Windows Server 2019 4598230 עדכון אבטחה
Windows Server 2016 (התקנת Server Core) 4598243 עדכון אבטחה
Windows Server 2016 4598243 עדכון אבטחה
Windows Server 2012 R2 (התקנת שרת ליבה) 4598285 אוסף עדכונים חודשי
4598275 אבטחה בלבד
Windows Server 2012 R2 4598285 אוסף עדכונים חודשי
4598275 אבטחה בלבד
Windows Server 2012 (התקנת Server Core) 4598278 אוסף עדכונים חודשי
4598297 אבטחה בלבד
Windows Server 2012 4598278 אוסף עדכונים חודשי
4598297 אבטחה בלבד
Windows Server 2008 R2 Service Pack 1 4598279 אוסף עדכונים חודשי
4598289 אבטחה בלבד
Windows Server 2008 Service Pack 2 4598288 אוסף עדכונים חודשי
4598287 אבטחה בלבד

שלב 2: הפיכת מצב אכיפה לזמין

חשוב סעיף, שיטה או משימה אלה כוללים שלבים שמסבירים לך כיצד לשנות את הרישום. עם זאת, עלולות להתרחש בעיות חמורות אם תשנה את הרישום בצורה שגויה. לפיכך, עליך להקפיד לעקוב אחר השלבים בצורה מדויקת. לקבלת הגנה נוספת, גבה את הרישום לפני שתשנה אותו. לאחר מכן, תוכל לשחזר את הרישום במקרה של בעיה. לקבלת מידע נוסף על אופן הגיבוי והשחזור של הרישום, ראה כיצד לגבות ולשחזר את הרישום ב- Windows.

לאחר עדכון כל התקני הלקוח והשרת, תוכל להפעיל הגנה מלאה על-ידי פריסת מצב אכיפה . לשם כך, בצע את השלבים הבאים:

  1. לחץ באמצעות לחצן העכבר הימני על 'התחל', לחץ על 'הפעלה', הקלד cmd בתיבה 'הפעלה ' ולאחר מכן הקש Ctrl+Shift+Enter.
  2. בשורת הפקודה של מנהל המערכת, הקלד regedit ולאחר מכן הקש Enter.
  3. אתר את מפתח המשנה הבא של הרישום:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print

  1. לחץ באמצעות לחצן העכבר הימני על הדפס, בחר חדש ולאחר מכן לחץ על ערך DWORD (32 סיביות).
  2. הקלד RpcAuthnLevelPrivacyEnabled ולאחר מכן הקש Enter.
  3. לחץ באמצעות לחצן העכבר הימני על RpcAuthnLevelPrivacyEnabled ולאחר מכן לחץ על שנה.
  4. בתיבה נתוני ערך , הקלד 1 ולאחר מכן לחץ על אישור.

הערה עדכון זה מציג תמיכה עבור ערך הרישום RpcAuthnLevelPrivacyEnabled כדי להגדיל את רמת ההרשאה עבור המדפסת IRemoteWinspool.

מפתח משנה של רישום HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print
Value RpcAuthnLevelPrivacyEnabled
סוג נתונים REG_DWORD
נתונים 1: הפיכת מצב אכיפה לזמין. לפני שתפעיל מצב אכיפה בצד השרת, ודא שכל מכשירי הלקוח התקינו את עדכון Windows שפורסם ב- 12 בינואר 2021 או עדכון מאוחר יותר של Windows. תיקון זה מגדיל את רמת ההרשאה עבור ממשק IRemoteWinspool RPC של המדפסת ומוסיף מדיניות וערך רישום חדשים בצד השרת כדי לאכוף את הלקוח להשתמש ברמת הרשאה החדשה אם מוחל מצב אכיפה . אם לא הוחל על מכשיר הלקוח עדכון האבטחה של 12 בינואר 2021 או עדכון מאוחר יותר של Windows, חוויית ההדפסה תתנתק כאשר הלקוח יתחבר לשרת דרך ממשק IRemoteWinspool .
0: לא מומלץ. ההגדרה משביתה את רמת האימות המוגברת עבור IRemoteWinspool של המדפסת, והמכשירים שלך אינם מוגנים.
ברירת מחדל אופן הפעולה המוגדר כברירת מחדל לאחר התקנת עדכונים כאשר מפתח הרישום לא מוגדר:
  • עדכונים מ- 12 בינואר 2021 ואילך כוללים את אופן הפעולה המוגדר כברירת מחדל של 0 (אפס) כאשר הם אינם מוגדרים.
  • עדכונים של 14 בספטמבר 2021 ואילך כוללים את אופן הפעולה המוגדר כברירת מחדל של 1 (אחד) כאשר הם לא מוגדרים.
האם נדרשת הפעלה מחדש? כן, נדרשת הפעלה מחדש של המכשיר או הפעלה מחדש של שירות מנגנון ההדפסה ברקע.