A CVE-2021-1678 nyomtató RPC-kötési változásainak telepítése (KB4599464)

Hatókör
Windows Server 2008 Service Pack 2 Windows Server 2008 R2 Service Pack 1 Windows Server 2012 Windows Server 2012 R2 Windows Server version 1809 Windows Server version 1903 Windows Server version 1909 Windows Server 2016, all editions Windows Server 2019 Windows Server version 2004 Windows Server version 20H2

Összegzés

Biztonsági megkerülést okozó biztonsági rés áll fenn abban a módban, ahogyan a nyomtató távoli eljáráshívása (RPC) kötés kezeli a távoli Winspool interfész hitelesítését. A Windows-frissítés a biztonsági rés megszüntetése érdekében növeli az RPC-hitelesítés szintjét, és egy új házirendet és beállításkulcsot vezet be, amely lehetővé teszi az ügyfeleknek, hogy letiltsák vagy engedélyezzék a kényszerítési módot a kiszolgálóoldalon a hitelesítési szint növelése érdekében.

A biztonsági résről lásd: CVE-2021-1678 | A Windows nyomtatásisor-kezelő hamisítási biztonsági rése.

Művelet

A környezet védelme és a szolgáltatáskimaradások megelőzése érdekében tegye a következőket:
  1. Frissítse az összes ügyfél- és kiszolgálóeszközt a 2021. január 12-i vagy újabb Windows-frissítés telepítésével. Vegye figyelembe, hogy a Windows-frissítés telepítése nem csökkenti teljes mértékben a biztonsági rést, és hatással lehet a jelenlegi nyomtatóbeállításokra. El kell végeznie a 2. lépést.
  2. Engedélyezze a kényszerítési módot a nyomtatókiszolgálón. A kényszerítési mód valamikor minden windowsos eszközön engedélyezve lesz.

A frissítések időzítése

Ezek a Windows-frissítések két fázisban jelennek meg:

  • A 2021. január 12-én vagy azt követően kiadott Windows-frissítések kezdeti központi telepítési fázisa.
  • A jövőbeli időpontban kiadott Windows-frissítések kényszerítési fázisa.

2021. január 12.: Kezdeti központi telepítési fázis

A kezdeti központi telepítési fázis a 2021. január 12-én kiadott Windows-frissítéssel kezdődik, amely lehetővé teszi a kiszolgálóügyfelek számára, hogy a környezetük felkészültsége alapján önállóan is engedélyezzék ezt a megemelt biztonsági szintet.

Ez a kiadás:

  • Kijavítottuk a CVE-2021-1678 kódot (alapértelmezés szerint Kikapcsolva állapotban lévő központi telepítési módban).
  • Lehetővé teszi az RpcAuthnLevelPrivacyEnabled beállításazonosító támogatását, hogy lehetővé tegye a nyomtató IRemoteWinspool-védelem engedélyezési szintjének emelését.

A megoldás a Windows-frissítések telepítését jelenti az összes ügyfél- és kiszolgáló szintű eszközön.

2021. szeptember 14.: Végrehajtási szakasz

A kiadás 2021. szeptember 14-én átkerül a kényszerítési fázisba.  A végrehajtási fázis a CVE-2021-1678 javítására irányuló módosításokat az engedélyezési szint beállításazonosító nélküli növelésével kényszeríti ki.

Telepítési útmutató

A frissítés telepítése előtt

A frissítés telepítése előtt telepítenie kell a következő szükséges frissítéseket. A Windows Update használata esetén a rendszer automatikusan felajánlja ezeket a szükséges frissítéseket szükség szerint.

  • A frissítés telepítése előtt rendelkeznie kell az egy 2019. szeptember 23-i vagy későbbi SHA-2 frissítéssel(KB4474419), amelynek a telepítése után újra kell indítani az eszközt. A SHA-2 frissítésekkel kapcsolatos további információkért tekintse meg a 2019 SHA-2-kódaláírás támogatási követelménye Windowshoz és WSUS-hez című témakört.
  • A Windows Server 2008 R2 SP1 rendszerhez telepítenie kell a 2019. március 12-i összegző frissítést (SSU) (KB4490628). A KB4490628 frissítés telepítése után javasoljuk, hogy telepítse a legújabb SSU-frissítést. A legújabb SSU-frissítéssel kapcsolatos további információkért lásd: ADV990001 | A szervizelési stack legújabb Frissítések.
  • A Windows Server 2008 SP2 rendszerhez telepítenie kell a 2019. április 9-i összegző frissítést (SSU) (KB4493730). A KB4493730 frissítés telepítése után javasoljuk, hogy telepítse a legújabb SSU-frissítést. A legújabb SSU-frissítésekkel kapcsolatos további információkért lásd: ADV990001 | A szervizelési stack legújabb Frissítések.
  • A meghosszabbított támogatás 2020. január 14-i megszűnését követően az ügyfeleknek meg kell vásárolniuk a Windows Server 2008 SP2 vagy a Windows Server 2008 R2 SP1 helyszíni verzióihoz készült meghosszabbított biztonsági frissítést (ESU). Az ESU-t megvásároló ügyfeleknek az KB4522133 alábbi eljárásait kell követniük, hogy továbbra is megkapják a biztonsági frissítéseket. Az ESU-ra vonatkozó további információkat, valamint a támogatott kiadásokat a KB4497181 jelű cikkben találja.

Fontos: A szükséges frissítések telepítése után újra kell indítani az eszközt.

A frissítés telepítése

A biztonsági rés elhárításához telepítse a Windows-frissítéseket, és engedélyezze a kényszerítési módot az alábbi lépéseket követve:

  1. Telepítse a 2021. január 12-i frissítést az összes ügyfél- és kiszolgálóeszközre.
  2. Miután az összes ügyfél- és kiszolgálóeszköz frissítve lett, a teljes védelem engedélyezhető a beállításazonosító 1-es értékre állításával.

1. lépés: A Windows-frissítés telepítése

Telepítse a 2021. január 12-i vagy újabb Windows-frissítést az összes ügyfél- és kiszolgálóeszközre.

2021. január 12-i frissítések
Windows Server-termék Tudásbázis # A frissítés típusa
Windows Server, 20H2-es verzió (Server Core telepítés) 4598242 Biztonsági frissítés
Windows Server, 2004-es verzió (Server Core telepítés) 4598242 Biztonsági frissítés
Windows Server, 1909-es verzió (Server Core telepítés) 4598229 Biztonsági frissítés
Windows Server, 1903-as verzió (Server Core telepítés) 4598229 Biztonsági frissítés
Windows Server 2019 (Server Core telepítés) 4598230 Biztonsági frissítés
Windows Server 2019 4598230 Biztonsági frissítés
Windows Server 2016 (Server Core telepítés) 4598243 Biztonsági frissítés
Windows Server 2016 4598243 Biztonsági frissítés
Windows Server 2012 R2 (Server Core telepítés) 4598285 Havi kumulatív frissítés
4598275 Csak biztonság
Windows Server 2012 R2 4598285 Havi kumulatív frissítés
4598275 Csak biztonság
Windows Server 2012 (Server Core telepítés) 4598278 Havi kumulatív frissítés
4598297 Csak biztonság
Windows Server 2012 4598278 Havi kumulatív frissítés
4598297 Csak biztonság
Windows Server 2008 R2 Service Pack 1 4598279 Havi kumulatív frissítés
4598289 Csak biztonság
Windows Server 2008 Service Pack 2 4598288 Havi kumulatív frissítés
4598287 Csak biztonság

2. lépés: A kényszerítési mód engedélyezése

Fontos Az alábbi szakasz, módszer vagy tevékenység a beállításjegyzék módosításának lépéseit ismerteti. A beállításjegyzék helytelen módosítása azonban komoly problémákhoz vezethet. Ezért a lehető legnagyobb körültekintéssel végezze el a következő lépéseket. A nagyobb biztonság érdekében a módosítás előtt készítsen biztonsági másolatot a beállításjegyzékről. így probléma esetén visszaállíthatja azt. A beállításjegyzék biztonsági mentésével és visszaállításával kapcsolatos további információkért lásd: Biztonsági másolat készítése és visszaállítása a beállításjegyzékről a Windowsban.

Miután az összes ügyfél- és kiszolgálóeszköz frissítve lett, a kényszerítési mód aktiválásával engedélyezheti a teljes védelmet. Ehhez kövesse az alábbi lépéseket:

  1. Kattintson a jobb gombbal a Start gombra, válassza a Futtatás parancsot, írja be a cmd parancsot a Futtatás mezőbe, majd nyomja le a Ctrl+Shift+Enter billentyűt.
  2. A rendszergazdai parancssorba írja be a regedit parancsot, majd nyomja le az Enter billentyűt.
  3. Keresse meg a beállításjegyzék következő alkulcsát:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print

  1. Kattintson a jobb gombbal a Nyomtatás elemre, válassza az Új parancsot, majd kattintson a Duplaszó (32 bites) érték lehetőségre.
  2. Írja be az RpcAuthnLevelPrivacyEnabled parancsot, majd nyomja le az Enter billentyűt.
  3. Kattintson a jobb gombbal az RpcAuthnLevelPrivacyEnabled elemre, majd válassza a Módosítás parancsot.
  4. Az Érték mezőbe írja be az 1 értéket, majd kattintson az OK gombra.

Megjegyzés Ez a frissítés támogatja az RpcAuthnLevelPrivacyEnabled beállításazonosítót a nyomtató IRemoteWinspool engedélyezési szintjének növelése érdekében.

Beállításjegyzékbeli alkulcs HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print
Érték RpcAuthnLevelPrivacyEnabled
Adattípus REG_DWORD
Adatok 1: Engedélyezi a kényszerítési módot. Mielőtt engedélyezné a kényszerítési módot a kiszolgálóoldalon, győződjön meg arról, hogy az összes ügyféleszközön telepítve van a 2021. január 12-én vagy később kiadott Windows-frissítés. Ez a javítás megnöveli a nyomtató IRemoteWinspool RPC-felületének engedélyezési szintjét, valamint egy új házirendet és beállításazonosítót ad hozzá a kiszolgálóoldalon, amely kényszeríti, hogy az ügyfél az új engedélyezési szintet használja, ha kényszerítési mód van érvényben. Ha az ügyféleszközön nincs telepítve a 2021. január 12-i vagy újabb Windows-frissítés, a nyomtatási élmény megszakad, amikor az ügyfél az IRemoteWinspool felületen keresztül csatlakozik a kiszolgálóhoz.
0: Nem ajánlott. Letiltja a nyomtató IRemoteWinspool hitelesítési szintjének növelését, így az eszközei nem lesznek védve.
Alapértelmezett Az alapértelmezett viselkedés a frissítések telepítése után, ha a beállításkulcs nincs beállítva:
  • A 2021. január 12-i vagy későbbi frissítések alapértelmezett viselkedése 0 (nulla), ha nincs beállítva.
  • A 2021. szeptember 14-i vagy későbbi frissítések alapértelmezett viselkedése 1 (egy), ha nincs beállítva.
Szükség van újraindításra? Igen, az eszközt vagy a nyomtatási sorkezelő szolgáltatást újra kell indítani.