概要
2021 年 7 月 6 日以降にリリースされたセキュリティ更新プログラムには、CVE-2021-34527 に記載されている "PrintNightmare" として知られる Windows 印刷スプーラー サービス (spoolsv.exe) のリモート コード実行の脆弱性に対する保護機能が含まれています。 2021 年 7 月以降の更新プログラムをインストールした後、プリンター オペレーターなどの代理管理者グループを含む管理者以外は、署名済みおよび署名されていないプリンター ドライバーをプリント サーバーにインストールできません。 既定では、管理者だけが署名済みプリンター ドライバーと署名されていないプリンター ドライバーの両方をプリント サーバーにインストールできます。
注釈 CVE-2021-34527 に対する保護を含む 2021 年 7 月の帯域外およびそれ以降の Windows 更新プログラムをインストールする前は、プリンター オペレーターのセキュリティ グループで署名済みプリンター ドライバーと署名されていないプリンター ドライバーの両方をプリンター サーバーにインストールすることができました。 2021 年 7 月の帯域外更新プログラムから、署名済みおよび署名されていないプリンター ドライバーをプリンター サーバーにインストールするために管理者の資格情報が必要になります。 必要に応じて、すべてのポイント アンド プリントの制限のグループ ポリシー設定をオーバーライドし、管理者のみがプリント サーバーにプリンター ドライバーをインストールできるようにするには、 RestrictDriverInstallationToAdministrators レジストリ値を 1 に構成します。
2021 年 7 月 6 日以降にリリースされた最新の Windows 更新プログラムを、現在印刷スプーラー サービスをホストしているデバイスから始めて、サポートされているすべての Windows クライアントおよびサーバー オペレーティング システムに直ちにインストールすることをお勧めします。 次に、[ポイント アンド プリントの制限] グループ ポリシー設定の [新しい接続用にドライバーをインストールする場合] と [既存の接続用にドライバーを更新する場合] を [警告および昇格時のプロンプトを表示する] に設定します。
Resolution
- 2021 年 7 月の帯域外更新プログラムまたはそれ以降の更新プログラムをインストールします。
- 次の条件に該当するかどうかを確認します。
レジストリ設定: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint
- NoWarningNoElevationOnInstall = 0 (DWORD) または未定義 (既定の設定)
- UpdatePromptSettings = 0 (DWORD) または未定義 (既定の設定)
グループ ポリシー: ポイント アンド プリントの制限のグループ ポリシーを設定していません。
両方の条件に該当する場合は、CVE-2021-34527 に対して脆弱ではなく、それ以上のアクションは必要ありません。 いずれかの条件が当てはまらない場合、あなたは脆弱です。 次の手順に従って、[ポイント アンド プリントの制限] グループ ポリシーを安全な構成に変更します。
グループ ポリシー エディター ツールを開き、[コンピューターの構成]>管理用テンプレート>プリンター に移動します。
[ポイント アンド プリントの制限] グループ ポリシー設定を次のように構成します。
- [ポイント アンド プリントの制限] グループ ポリシー設定を [有効] に設定します。
- [新しい接続用にドライバーをインストールした場合]: [警告および昇格時のプロンプトを表示する]。
- [既存の接続用にドライバーを更新した場合]: [警告および昇格時のプロンプトを表示する]。
重要 このポリシーを、印刷スプーラー サービスをホストするすべてのコンピューターに適用することを強くお勧めします。
再起動の必要性: このポリシー変更では、これらの設定を適用した後、デバイスまたは印刷スプーラー サービスを再起動する必要はありません。
3. 次のレジストリ キーを使用して、グループ ポリシーが正しく適用されたことを確認します。
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint
- NoWarningNoElevationOnInstall = 0 (DWORD)
- UpdatePromptSettings = 0 (DWORD)
警告 これらを 0 以外の値に設定すると、CVE-2021-34527 更新プログラムをインストールしたデバイスが脆弱になります。
注釈 これらの設定を構成しても、ポイント アンド プリント機能は無効になりません。
4. [推奨]ポイント アンド プリントの制限を上書きして、管理者のみがプリンター サーバーに印刷ドライバーをインストールできるようにします。 これを行うには、レジストリ キー RestrictDriverInstallationToAdministrators を使用します。 2021 年 7 月 6 日以降にリリースされた Updates は、2021 年 8 月 10 日にリリースされた更新プログラムまで、既定値は 0 (無効) です。 2021 年 8 月 10 日以降にリリースされた Updates の既定値は 1 (有効) です。 RestrictDriverInstallationToAdministrators を設定する方法と、その他の印刷関連の推奨事項の詳細については、「KB5005652 - 新しいポイントアンドプリントの既定のドライバーのインストールの動作を管理する (CVE-2021-34481)」を参照してください
詳細
CVE-2021-34527 の修正プログラムは、共有ネットワーク プリンターに接続して印刷ドライバーをインストールしているクライアント デバイスの既定のポイント アンド プリント ドライバーのインストール シナリオに影響しますか?
いいえ。CVE-2021-34527 の修正プログラムは、共有ネットワーク プリンターに接続して印刷ドライバーをインストールしているクライアント デバイスの既定のポイント アンド プリント ドライバーのインストール シナリオには直接影響しません。 この場合、クライアント デバイスはプリント サーバーに接続し、その信頼されたサーバーからドライバーをダウンロードしてインストールします。 このシナリオは、攻撃者が悪意のあるドライバーをプリント サーバー自体にローカルまたはリモートにインストールしようとしている脆弱なシナリオとは異なります。