Ringkasan
Kerentanan bypass keamanan ada dalam cara pengikatan Printer Remote Procedure Call (RPC) menangani autentikasi untuk antarmuka Winspool jarak jauh. Pembaruan Windows mengatasi kerentanan ini dengan meningkatkan tingkat autentikasi RPC dan memperkenalkan kebijakan dan kunci registri baru untuk memungkinkan pelanggan menonaktifkan atau mengaktifkan mode Penegakan di sisi server untuk meningkatkan tingkat autentikasi.
Untuk mempelajari selengkapnya tentang kerentanan, lihat CVE-2021-1678 | Kerentanan spoofing spooler cetak Windows.
|
Mengambil tindakan Untuk melindungi lingkungan dan mencegah pemadaman, Anda harus melakukan hal berikut:
|
|---|
Waktu pembaruan
Pembaruan Windows ini akan dirilis dalam dua fase:
- Fase penyebaran awal untuk pembaruan Windows yang dirilis pada atau setelah 12 Januari 2021.
- Fase penegakan untuk pembaruan Windows dirilis di masa mendatang.
12 Januari 2021: Tahap Penerapan Awal
Fase penyebaran awal dimulai dengan pembaruan Windows yang dirilis pada 12 Januari 2021 dengan menyediakan kemampuan bagi pelanggan server untuk mengaktifkan peningkatan tingkat keamanan ini sendiri berdasarkan kesiapan lingkungan mereka.
Rilis ini:
- Alamat CVE-2021-1678 (dalam mode Penyebaran diatur ke Nonaktif secara default).
- Menambahkan dukungan untuk nilai registri RpcAuthnLevelPrivacyEnabled untuk mengaktifkan peningkatan tingkat otorisasi untuk perlindungan IRemoteWinspool printer.
Mitigasi terdiri dari penginstalan pembaruan Windows di semua perangkat tingkat klien dan server.
14 September 2021: Fase Penegakan
Rilis beralih ke fase penegakan pada 14 September 2021. Fase penegakan memberlakukan perubahan untuk mengatasi CVE-2021-1678 dengan meningkatkan tingkat otorisasi tanpa harus mengatur nilai registri.
Panduan penginstalan
Sebelum menginstal pembaruan ini
Anda harus menginstal pembaruan wajib berikut sebelum menerapkan pembaruan ini. Jika Anda menggunakan Windows Update, pembaruan yang diperlukan ini akan ditawarkan secara otomatis sesuai kebutuhan.
- Anda harus menginstal pembaruan SHA-2 (KB4474419) tertanggal 23 September 2019 atau pembaruan SHA-2 yang lebih baru, lalu menghidupkan ulang perangkat sebelum menerapkan pembaruan ini. Untuk informasi selengkapnya tentang pembaruan SHA-2, lihat Persyaratan Dukungan Penandatanganan Kode SHA-2 2019 untuk Windows dan WSUS.
- Untuk Windows Server 2008 R2 SP1, Anda harus sudah menginstal pembaruan tumpukan layanan (SSU) (KB4490628) yang tertanggal 12 Maret 2019. Setelah pembaruan KB4490628 diinstal, kami menyarankan Anda untuk menginstal pembaruan SSU terbaru. Untuk informasi selengkapnya tentang pembaruan SSU terbaru, lihat ADV990001 | Tumpukan Pelayanan Terbaru Updates.
- Untuk Windows Server 2008 SP2, Anda harus sudah menginstal pembaruan tumpukan layanan (SSU) (KB4493730) yang tertanggal 9 April 2019. Setelah pembaruan KB4493730 diinstal, kami menyarankan Anda untuk menginstal pembaruan SSU terbaru. Untuk informasi selengkapnya tentang pembaruan SSU terbaru, lihat ADV990001 | Tumpukan Pelayanan Terbaru Updates.
- Pelanggan diwajibkan membeli Pembaruan Keamanan Diperpanjang (ESU) untuk versi lokal Windows Server 2008 SP2 atau Windows Server 2008 R2 SP1 setelah dukungan yang diperpanjang berakhir pada 14 Januari 2020. Pelanggan yang telah membeli ESU harus mengikuti prosedur di KB4522133 untuk terus menerima pembaruan keamanan. Untuk informasi selengkapnya tentang ESU dan edisi mana yang didukung, lihat KB4497181.
Penting Anda harus memulai ulang perangkat setelah menginstal pembaruan yang diperlukan ini.
Instal pembaruan
Untuk mengatasi kerentanan keamanan, instal pembaruan Windows dan aktifkan mode Penegakan dengan mengikuti langkah-langkah berikut:
- Sebarkan pembaruan 12 Januari 2021 ke semua perangkat klien dan server.
- Setelah semua perangkat klien dan server diperbarui, perlindungan penuh dapat diaktifkan dengan mengatur nilai registri ke 1.
Langkah 1: Instal pembaruan Windows
Instal pembaruan Windows 12 Januari 2021 atau pembaruan Windows yang lebih baru ke semua perangkat klien dan server.
Pembaruan 12 Januari 2021
| Produk Windows Server | KB # | Jenis pembaruan |
|---|---|---|
| Windows Server, versi 20H2 (Penginstalan Server Core) | 4598242 | Pembaruan Keamanan |
| Windows Server, versi 2004 (penginstalan Server Core) | 4598242 | Pembaruan Keamanan |
| Windows Server, versi 1909 (penginstalan Server Core) | 4598229 | Pembaruan Keamanan |
| Windows Server, versi 1903 (penginstalan Server Core) | 4598229 | Pembaruan Keamanan |
| Server Windows 2019 (Penginstalan Server Core) | 4598230 | Pembaruan Keamanan |
| Server Windows 2019 | 4598230 | Pembaruan Keamanan |
| Server Windows 2016 (penginstalan Server Core) | 4598243 | Pembaruan Keamanan |
| Server Windows 2016 | 4598243 | Pembaruan Keamanan |
| Windows Server 2012 R2 (penginstalan Server Core) | 4598285 | Rollup Bulanan |
| 4598275 | Keamanan saja | |
| Windows Server 2012 R2 | 4598285 | Rollup Bulanan |
| 4598275 | Keamanan saja | |
| Windows Server 2012 (Penginstalan Server Core) | 4598278 | Rollup Bulanan |
| 4598297 | Keamanan saja | |
| Windows Server 2012 | 4598278 | Rollup Bulanan |
| 4598297 | Keamanan saja | |
| Windows Server 2008 R2 Paket Layanan 1 | 4598279 | Rollup Bulanan |
| 4598289 | Keamanan saja | |
| Windows Server 2008 Paket Layanan 2 | 4598288 | Rollup Bulanan |
| 4598287 | Keamanan saja |
Langkah 2: Aktifkan mode Penegakan
Penting Bagian, metode, atau tugas ini berisi langkah-langkah yang memberi tahu Anda cara mengubah registri. Namun, masalah serius mungkin terjadi jika Anda salah mengubah registri. Oleh karena itu, pastikan Anda mengikuti langkah-langkah ini dengan hati-hati. Untuk perlindungan tambahan, buat cadangan registri sebelum Anda mengubahnya. Kemudian, registri dapat dipulihkan jika terjadi masalah. Untuk informasi selengkapnya tentang cara mencadangkan dan memulihkan registri, lihat Cara mencadangkan dan memulihkan registri di Windows.
Setelah semua perangkat klien dan server diperbarui, Anda dapat mengaktifkan perlindungan penuh dengan menyebarkan mode Penegakan . Untuk melakukannya, ikuti langkah-langkah berikut:
- Klik kanan Mulai, klik Jalankan, ketik cmd dalam kotak Jalankan , lalu tekan Ctrl+Shift+Enter.
- Di Prompt perintah Administrator, ketik regedit lalu tekan Enter.
- Temukan subkey registri berikut:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print
- Klik kanan Cetak, pilih Baru, lalu klik NILAI DWORD (32-bit) Nilai.
- Ketik RpcAuthnLevelPrivacyEnabled, lalu tekan Enter.
- Klik kanan RpcAuthnLevelPrivacyEnabled, lalu klik Ubah.
- Dalam kotak Data nilai , ketik 1 , lalu klik Ok.
catatan Pembaruan ini memperkenalkan dukungan untuk nilai registri RpcAuthnLevelPrivacyEnabled guna meningkatkan tingkat otorisasi printer IRemoteWinspool.
| Subkey registri | HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print |
|---|---|
| Value | RpcAuthnLevelPrivacyEnabled |
| Tipe data | REG_DWORD |
| Data |
1: Mengaktifkan mode Penegakan . Sebelum mengaktifkan mode Penegakan untuk sisi server, pastikan semua perangkat klien telah menginstal pembaruan Windows yang dirilis pada 12 Januari 2021 atau pembaruan Windows yang lebih baru. Perbaikan ini meningkatkan tingkat otorisasi untuk antarmuka RPC IRemoteWinspool printer dan menambahkan kebijakan dan nilai registri baru di sisi server untuk memaksa klien menggunakan tingkat otorisasi baru jika mode Penegakan diterapkan. Jika perangkat klien tidak menerapkan pembaruan keamanan 12 Januari 2021 atau pembaruan Windows yang lebih baru, pengalaman pencetakan akan rusak saat klien tersambung ke server melalui antarmuka IRemoteWinspool . 0: Tidak disarankan. Menonaktifkan peningkatan tingkat autentikasi untuk IRemoteWinspool printer, dan perangkat Anda tidak terlindungi. |
| Default | Perilaku default setelah menginstal pembaruan ketika kunci registri tidak ditetapkan:
|
| Apakah Restart diperlukan? | Ya, diperlukan menghidupkan ulang perangkat atau menghidupkan ulang layanan spooler. |