Zarządzanie wdrażaniem zmian powiązania RPC drukarki dla CVE-2021-1678 (KB4599464)

Dotyczy
Windows Server 2008 Service Pack 2 Windows Server 2008 R2 Service Pack 1 Windows Server 2012 Windows Server 2012 R2 Windows Server version 1809 Windows Server version 1903 Windows Server version 1909 Windows Server 2016, all editions Windows Server 2019 Windows Server version 2004 Windows Server version 20H2

Podsumowanie

Istnieje luka umożliwiająca obejście zabezpieczeń w sposobie, w jaki powiązanie zdalnego wywołania procedury drukarki (RPC) obsługuje uwierzytelnianie dla zdalnego interfejsu Winspool. Aktualizacja systemu Windows usuwa tę lukę, zwiększając poziom uwierzytelniania RPC oraz wprowadzając nowe zasady i klucz rejestru, aby umożliwić klientom wyłączenie lub włączenie trybu wymuszania po stronie serwera w celu zwiększenia poziomu uwierzytelniania.

Aby dowiedzieć się więcej o luce w zabezpieczeniach, zobacz CVE-2021-1678 | Luka w zabezpieczeniach związana z fałszowaniem bufora wydruku systemu Windows.

Podejmij działanie

Aby chronić środowisko i zapobiegać awariom, należy wykonać następujące czynności:
  1. Zaktualizuj wszystkie urządzenia klienckie i serwerowe, instalując aktualizację systemu Windows z 12 stycznia 2021 r. lub nowszą. Należy pamiętać, że zainstalowanie aktualizacji systemu Windows nie eliminuje w pełni luki w zabezpieczeniach i może wpłynąć na bieżącą konfigurację drukowania. Należy wykonać krok 2.
  2. Włącz tryb wymuszania na serwerze wydruku. Tryb wymuszania zostanie włączony na wszystkich urządzeniach z systemem Windows w przyszłości.

Chronometraż aktualizacji

Te aktualizacje systemu Windows będą wydawane w dwóch fazach:

  • Początkowa faza wdrażania aktualizacji systemu Windows wydanych 12 stycznia 2021 r. lub później.
  • Faza wymuszania dla aktualizacji systemu Windows wydanych w przyszłości.

12 stycznia 2021 r.: faza początkowego wdrożenia

Początkowa faza wdrażania rozpoczyna się od aktualizacji systemu Windows wydanej 12 stycznia 2021 r., zapewniając klientom serwerów możliwość samodzielnego włączania tego podwyższonego poziomu zabezpieczeń w zależności od gotowości ich środowiska.

W tym wydaniu:

  • Rozwiązuje problemy CVE-2021-1678 (w trybie wdrażania domyślnie ustawionym na wartość Wyłączone ).
  • Dodaje obsługę wartości rejestru RpcAuthnLevelPrivacyEnabled w celu włączenia zwiększenia poziomu autoryzacji dla ochrony IRemoteWinspool drukarki.

Ograniczenie ryzyka polega na zainstalowaniu aktualizacji systemu Windows na wszystkich urządzeniach na poziomie klienta i serwera.

14 września 2021 r.: faza wymuszania

Wydanie przejdzie do fazy egzekwowania 14 września 2021 r.  Faza wymuszania wymusza zmiany w celu rozwiązania problemu CVE-2021-1678 przez zwiększenie poziomu autoryzacji bez konieczności ustawiania wartości rejestru.

Wskazówki dotyczące instalacji

Przed zainstalowaniem tej aktualizacji

Przed zastosowaniem tej aktualizacji muszą być zainstalowane następujące wymagane aktualizacje. Jeśli używasz usługi Windows Update, te wymagane aktualizacje będą oferowane automatycznie w zależności od potrzeb.

  • Przed zastosowaniem tej aktualizacji musisz mieć zainstalowaną aktualizację SHA-2 (KB4474419) z dnia 23 września 2019 r. lub nowszą aktualizację SHA-2, a następnie ponownie uruchomić urządzenie. Aby uzyskać więcej informacji na temat aktualizacji technologii SHA-2, zobacz Wymaganie obsługi podpisu kodu SHA-2 2019 dla systemu Windows i programu WSUS.
  • W przypadku Windows Server 2008 R2 z dodatkiem SP1 musi być zainstalowana aktualizacja stosu obsługi (SSU) (KB4490628) z dnia 12 marca 2019 r. Po zainstalowaniu KB4490628 aktualizacji zalecamy zainstalowanie najnowszej aktualizacji SSU. Aby uzyskać więcej informacji na temat najnowszej aktualizacji SSU, zobacz ADV990001 | Najnowsze aktualizacje stosu obsługi.
  • W przypadku Windows Server 2008 z dodatkiem SP2 musi być zainstalowana aktualizacja stosu obsługi (SSU) (KB4493730) z dnia 9 kwietnia 2019 r. Po zainstalowaniu KB4493730 aktualizacji zalecamy zainstalowanie najnowszej aktualizacji SSU. Aby uzyskać więcej informacji na temat najnowszych aktualizacji SSU, zobacz ADV990001 | Najnowsze aktualizacje stosu obsługi.
  • Po zakończeniu wsparcia dodatkowego 14 stycznia 2020 r. klienci muszą kupić dodatkowe aktualizacje zabezpieczeń (ESU) dla lokalnych wersji systemu Windows Server 2008 z dodatkiem SP2 lub Windows Server 2008 R2 z dodatkiem SP1. Klienci, którzy kupili aktualizacje ESU, muszą wykonać procedury opisane w KB4522133 , aby nadal otrzymywać aktualizacje zabezpieczeń. Aby uzyskać więcej informacji na temat ESU i obsługiwanych wersji, zobacz KB4497181.

Ważne Musisz ponownie uruchomić urządzenie po zainstalowaniu tych wymaganych aktualizacji.

Zainstaluj aktualizację

Aby usunąć lukę w zabezpieczeniach, zainstaluj aktualizacje systemu Windows i włącz tryb wymuszania , wykonując następujące kroki:

  1. Wdróż aktualizację z 12 stycznia 2021 r. na wszystkich urządzeniach klienckich i serwerowych.
  2. Po zaktualizowaniu wszystkich urządzeń klienckich i serwerowych można włączyć pełną ochronę, ustawiając wartość rejestru na 1.

Krok 1. Instalowanie aktualizacji systemu Windows

Zainstaluj aktualizację systemu Windows z 12 stycznia 2021 r. lub nowszą na wszystkich urządzeniach klienckich i serwerowych.

Aktualizacje z 12 stycznia 2021 r.
Produkt systemu Windows Server Bazy wiedzy # Typ aktualizacji
Windows Server, wersja 20H2 (instalacja Server Core) 4598242 Aktualizacja zabezpieczeń
Windows Server, wersja 2004 (instalacja Server Core) 4598242 Aktualizacja zabezpieczeń
Windows Server, wersja 1909 (instalacja Server Core) 4598229 Aktualizacja zabezpieczeń
Windows Server, wersja 1903 (instalacja Server Core) 4598229 Aktualizacja zabezpieczeń
Windows Server 2019 (instalacja Server Core) 4598230 Aktualizacja zabezpieczeń
Windows Server 2019 4598230 Aktualizacja zabezpieczeń
Windows Server 2016 (instalacja Server Core) 4598243 Aktualizacja zabezpieczeń
Windows Server 2016 4598243 Aktualizacja zabezpieczeń
Windows Server 2012 R2 (instalacja Server Core) 4598285 Miesięczny pakiet zbiorczy aktualizacji
4598275 Tylko zabezpieczenia
Windows Server 2012 R2 4598285 Miesięczny pakiet zbiorczy aktualizacji
4598275 Tylko zabezpieczenia
Windows Server 2012 (instalacja Server Core) 4598278 Miesięczny pakiet zbiorczy aktualizacji
4598297 Tylko zabezpieczenia
Windows Server 2012 4598278 Miesięczny pakiet zbiorczy aktualizacji
4598297 Tylko zabezpieczenia
Windows Server 2008 R2 z dodatkiem Service Pack 1 4598279 Miesięczny pakiet zbiorczy aktualizacji
4598289 Tylko zabezpieczenia
Dodatek Service Pack 2 dla systemu Windows Server 2008 4598288 Miesięczny pakiet zbiorczy aktualizacji
4598287 Tylko zabezpieczenia

Krok 2: Włącz tryb wymuszania

Ważne Ta sekcja, metoda lub zadanie zawiera opis kroków zmieniania rejestru. Niepoprawne zmiany rejestru mogą jednak być przyczyną poważnych problemów. Dlatego należy uważnie wykonywać podane czynności. Aby zapewnić dodatkową ochronę, przed zmianą rejestru należy wykonać jego kopię zapasową. Dzięki temu będzie można przywrócić rejestr w przypadku wystąpienia problemu. Aby uzyskać więcej informacji o tworzeniu kopii zapasowej i przywracaniu rejestru, zobacz Jak wykonać kopię zapasową rejestru i przywrócić go w systemie Windows.

Po zaktualizowaniu wszystkich urządzeń klienckich i serwerowych można włączyć pełną ochronę, wdrażając tryb wymuszania . W tym celu wykonaj następujące czynności:

  1. Kliknij prawym przyciskiem myszy przycisk Start, kliknij polecenie Uruchom, wpisz polecenie cmd w polu Uruchom , a następnie naciśnij klawisz Ctrl+i Shift+Enter.
  2. W wierszu polecenia administratora wpisz polecenie regedit , a następnie naciśnij klawisz Enter.
  3. Odszukaj następujący podklucz rejestru:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print

  1. Kliknij prawym przyciskiem myszy pozycję Drukuj, wybierz polecenie Nowy, a następnie kliknij pozycję WARTOŚĆ DWORD (32-bitowa).
  2. Wpisz parametr RpcAuthnLevelPrivacyEnabled , a następnie naciśnij klawisz Enter.
  3. Kliknij prawym przyciskiem myszy pozycję RpcAuthnLevelPrivacyEnabled, a następnie kliknij polecenie Modyfikuj.
  4. W polu Dane wartości wpisz wartość 1 , a następnie kliknij przycisk OK.

Wskazówka Ta aktualizacja wprowadza obsługę wartości rejestru RpcAuthnLevelPrivacyEnabled w celu zwiększenia poziomu autoryzacji dla drukarki IRemoteWinspool.

Podklucz rejestru HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print
Wartość RpcAuthnLevelPrivacyEnabled
Typ danych REG_DWORD
Dane 1: włącza tryb wymuszania . Przed włączeniem trybu wymuszania po stronie serwera upewnij się, że wszystkie urządzenia klienckie mają zainstalowaną aktualizację systemu Windows wydaną 12 stycznia 2021 r. lub nowszą aktualizację systemu Windows. Ta poprawka zwiększa poziom autoryzacji dla interfejsu RPC drukarki IRemoteWinspool i dodaje nową zasadę oraz wartość rejestru po stronie serwera, aby wymusić na kliencie korzystanie z nowego poziomu autoryzacji, jeśli jest stosowany tryb wymuszania . Jeśli urządzenie klienckie nie ma zastosowanej aktualizacji zabezpieczeń z 12 stycznia 2021 r. lub nowszej aktualizacji systemu Windows, środowisko drukowania zostanie przerwane, gdy klient połączy się z serwerem za pośrednictwem interfejsu IRemoteWinspool .
0: Niezalecane. Wyłącza wyższy poziom uwierzytelniania dla drukarki IRemoteWinspool, a urządzenia nie są chronione.
Domyślne Zachowanie domyślne po zainstalowaniu aktualizacji, gdy klucz rejestru nie jest ustawiony:
  • Aktualizacje z 12 stycznia 2021 r. lub nowsze mają domyślne zachowanie 0 (zero), jeśli nie są ustawione.
  • Aktualizacje z 14 września 2021 r. lub nowsze mają domyślne zachowanie 1 (jeden), jeśli nie są ustawione.
Czy jest wymagane ponowne uruchomienie? Tak, wymagane jest ponowne uruchomienie urządzenia lub ponowne uruchomienie usługi buforu.