Resumo
As atualizações do Windows lançadas a 10 de agosto de 2021 e posteriores exigirão, por predefinição, privilégios administrativos para instalar controladores. Fizemos esta alteração no comportamento predefinido para abordar o risco em todos os dispositivos Windows, incluindo dispositivos que não utilizam a funcionalidade Apontar e Imprimir ou imprimir. Para obter mais informações, consulte Alteração de comportamento padrão de apontar e imprimir e CVE-2021-34481.
Por predefinição, os utilizadores que não sejam administradores deixarão de poder efetuar o seguinte método utilizando Apontar e Imprimir sem elevação de privilégios para administrador:
- Instalar novas impressoras usando drivers em um computador remoto ou servidor
- Atualizar controladores de impressora existentes utilizando controladores do computador remoto ou servidor
Observação Se não estiver a utilizar o recurso Apontar e Imprimir, não deverá ser afetado por esta alteração e estará protegido por predefinição após instalar as atualizações lançadas a 10 de agosto de 2021 ou posterior.
Importante Os clientes de impressão no seu ambiente têm de ter uma atualização lançada a 12 de janeiro de 2021 ou posterior antes de instalar as atualizações lançadas a 14 de setembro de 2021. Consulte o Q2 em "Perguntas frequentes" abaixo para obter mais informações.
Modificar o comportamento predefinido da instalação do controlador com uma chave do registo
Pode modificar este comportamento predefinido através da chave do registo na tabela abaixo. No entanto, tenha muito cuidado ao utilizar um valor de zero (0), porque isso torna os dispositivos vulneráveis. Se tiver de utilizar o valor de registo de 0 no seu ambiente, recomendamos que o utilize temporariamente enquanto ajusta o ambiente para permitir que os dispositivos Windows utilizem o valor de um (1).
| Localização do registo | HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint |
|---|---|
| Nome do DWord | RestrictDriverInstallationToAdministrators |
| Dados de valor |
Comportamento predefinido: Definir este valor como 1 ou se a chave não estiver definida ou não estiver presente, exigirá o privilégio de administrador para instalar qualquer controlador de impressora ao utilizar Apontar e Imprimir. Esta chave do Registo substituirá todas as definições de Restrições de Apontar e Imprimir Política de Grupo e garante que apenas os administradores podem instalar controladores de impressora a partir de um servidor de impressão através da função Apontar e Imprimir. Definir o valor como 0 permite que não-administradores instalem controladores assinados e não assinados num servidor de impressão, mas não substitui as definições de Apontar e Imprimir Política de Grupo. Consequentemente, as definições de Restrições de Apontar e Imprimir Política de Grupo podem substituir esta definição de chave de registo para impedir que não-administradores instalem controladores de impressão assinados e não assinados a partir de um servidor de impressão. Alguns administradores podem definir o valor como 0 para permitir que não-administradores instalem e atualizem controladores depois de adicionarem restrições adicionais, incluindo a adição de uma definição de política que restrinja o local a partir do qual os controladores podem ser instalados. Importante Não há nenhuma combinação de mitigações que seja equivalente à definição de RestrictDriverInstallationToAdministrators como 1. Nota Atualizações lançadas a 6 de julho de 2021 ou posterior têm uma predefinição de 0 (desativada) até à instalação das atualizações lançadas a 10 de agosto de 2021 ou posterior. Atualizações lançadas a 10 de agosto de 2021 ou posterior têm a predefinição de 1 (ativado). |
| Requisitos de reinício | Não é necessário reiniciar ao criar ou modificar este valor de registo. |
Observação As atualizações do Windows não irão definir nem alterar a chave de registo. Pode definir a chave de registo antes ou depois de instalar as atualizações lançadas a 10 de agosto de 2021 ou posterior.
Automatizar a adição do valor de registo RestrictDriverInstallationToAdministrators
Para automatizar a adição do valor de registo RestrictDriverInstallationToAdministrators, siga estes passos:
- Abra uma janela de Linha de Comandos (cmd.exe) com permissões elevadas.
- Introduza o comando seguinte e, em seguida, prima Enter:
reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint" /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 1 /f
Definir RestrictDriverInstallationToAdministrators usando Política de Grupo
Depois de instalar as atualizações lançadas a 12 de outubro de 2021 ou posterior, também pode definir RestrictDriverInstallationToAdministrators através de um Política de Grupo, seguindo as seguintes instruções:
- Abra a ferramenta editor de políticas de grupo e aceda a Configuração do>Computador, Modelos>Administrativos, Impressoras.
- Defina a configuração Limita a instalação do driver de impressão para Administradores como "Habilitado". Isso definirá o valor do Registro de RestrictDriverInstallationToAdministrators como 1.
Instalar controladores de impressão quando a nova predefinição é imposta
Se você definir RestrictDriverInstallationToAdministrators como não definido ou como 1, dependendo do seu ambiente, os usuários devem usar um dos seguintes métodos para instalar impressoras:
- Forneça um nome de usuário e senha de administrador quando as credenciais forem solicitadas ao tentar instalar um driver de impressora.
- Inclua os drivers de impressora necessários na imagem do sistema operacional.
- Defina temporariamente RestrictDriverInstallationToAdministrators para 0 para instalar drivers de impressora.
Observação Se não conseguir instalar controladores de impressora, mesmo com privilégios de administrador, tem de desativar o Política de Grupo Utilizar Apenas o Ponto de Embalagem e Imprimir.
Configurações recomendadas e mitigações parciais para ambientes que não podem usar o comportamento padrão
As mitigações a seguir podem ajudar a proteger todos os ambientes, mas especialmente se você precisar definir RestrictDriverInstallationToAdministrators como 0. Estas mitigações não resolvem completamente as vulnerabilidades no CVE-2021-34481.
Importante Não há nenhuma combinação de mitigações que seja equivalente à definição de RestrictDriverInstallationToAdministrators como 1.
Verifique se RpcAuthnLevelPrivacyEnabled está definido como 1 ou não definido
Verifique se RpcAuthnLevelPrivacyEnabled está definido como 1 ou não está definido conforme descrito em Gerenciando a implantação de alterações de vinculação RPC de impressora para CVE-2021-1678 (KB4599464).
Verificar se os Pedidos de Segurança estão ativados para Apontar e Imprimir
Verifique se as Pedidos de Segurança estão ativadas para Apontar e Imprimir conforme descrito em KB5005010: Restringir a instalação de novos controladores de impressora depois de aplicar as atualizações de 6 de julho de 2021.
Permita que os utilizadores se liguem apenas a servidores de impressão específicos em que confia
Esta política, Restrições de Apontar e Imprimir, aplica-se a impressoras Apontar e Imprimir que utilizem um controlador sem reconhecimento de pacotes no servidor.
Utilize os seguintes passos:
- Abra a Consola de Gestão de Política de Grupo (GPMC).
- Na árvore de console GPMC, vá para o domínio ou unidade organizacional (UO) que armazena as contas de usuário para as quais você deseja modificar as configurações de segurança do driver de impressora.
- Clique com o botão direito do mouse no domínio ou UO apropriado e clique em Criar um GPO neste domínio e vincule-o aqui. Digite um nome para o novo Política de Grupo Object (GPO) e clique em OK.
- Clique com o botão direito do rato no GPO que criou e, em seguida, clique em Editar.
- Na janela Editor de Gerenciamento Política de Grupo, clique em Configuração do Computador, em Diretivas, em Modelos Administrativos e em Impressoras.
- Clique com o botão direito do rato em Restrições de Apontar e Imprimir e, em seguida, clique em Editar.
- Na caixa de diálogo Restrições de Apontar e Imprimir , clique em Habilitado.
- Selecione a caixa de seleção Usuários só podem apontar e imprimir para esses servidores se ainda não estiver marcada.
- Introduza os nomes dos servidores totalmente qualificados. Separe cada nome usando ponto e vírgula (;).
Observação Depois de instalar as atualizações lançadas a 21 de setembro de 2021 ou posterior, pode configurar esta política de grupo com endereços IP delimitados por pontos finais ou pontos (.) de forma intercambiável com nomes de anfitrião totalmente qualificados. - Na caixa Ao instalar drivers para uma nova conexão , selecione Mostrar aviso e Prompt elevado.
- Na caixa Ao atualizar drivers para uma conexão existente , selecione Mostrar aviso e Prompt elevado.
- Clique em OK.
Permita que os usuários se conectem apenas a servidores específicos de Ponto de Pacote e Impressão confiáveis
Esta política, Servidores Compactados de Ponto e Impressão - Aprovados, restringirá o comportamento do cliente para permitir apenas ligações de Ponto e Impressão a servidores definidos que utilizem controladores com reconhecimento de pacotes.
Utilize os seguintes passos:
No controlador de domínio, selecione Iniciar, Ferramentas Administrativas e, em seguida, selecione Gerenciamento de Política de Grupo. Como alternativa, selecione Iniciar, selecione Executar, digite GPMC.MSC e pressione Enter.
Expanda a floresta e, em seguida, expanda os domínios.
No seu domínio, selecione a UO onde pretende criar esta política.
Clique com o botão direito do mouse na UO e , em seguida, selecione Criar um GPO neste domínio e vincule-o aqui.
Atribua um nome ao GPO e, em seguida, selecione OK.
Clique com o botão direito do mouse no Objeto Política de Grupo recém-criado e selecione Editar para abrir o Editor de Gerenciamento de Política de Grupo.
No Editor de Gestão do Política de Grupo, expanda as seguintes pastas:
- Configuração do computador
- Políticas
- Modelos Administrativos
- Políticas Locais de Computador
- Impressoras
Ative Package Point and Print - Approved servers e selecione o botão Mostrar...
Introduza os nomes dos servidores totalmente qualificados. Separe cada nome usando ponto e vírgula (;).
Observação Depois de instalar as atualizações lançadas a 21 de setembro de 2021 ou posterior, pode configurar esta política de grupo com endereços IP delimitados por pontos finais ou pontos (.) de forma intercambiável com nomes de anfitrião totalmente qualificados.
Perguntas mais frequentes
P1: Sempre que tento imprimir, recebo uma mensagem a dizer "Confia nesta impressora?" e é necessário introduzir credenciais de administrador para continuar. Isso é esperado?
R1: Não se espera que lhe seja pedida para cada tarefa de impressão. A maioria dos ambientes ou dispositivos que tiverem este problema serão resolvidos ao instalar as atualizações lançadas a 12 de outubro de 2021 ou posterior. Estas atualizações resolvem um problema relacionado com servidores de impressão e clientes de impressão que não estão no mesmo fuso horário.
Se continuar a ter este problema após instalar as atualizações lançadas a 12 de outubro de 2021 ou posterior, poderá ter de contactar o fabricante da impressora para obter controladores atualizados. Este problema também pode ocorrer quando um controlador de impressão no cliente de impressão e no servidor de impressão utilizam o mesmo nome de ficheiro, mas o servidor tem uma versão mais recente do ficheiro do controlador. Quando o cliente de impressão se liga ao servidor de impressão, localiza um ficheiro de controlador mais recente e é-lhe pedido para actualizar os controladores no cliente de impressão. No entanto, o arquivo no pacote que é oferecido para instalação não inclui a versão mais recente do arquivo do driver.
Os arquivos que estão sendo comparados são os drivers dentro da pasta spool, geralmente em C:\Windows\System32\spool\drivers\x64\3 no cliente de impressão e no servidor de impressão. O pacote de controlador que está a ser disponibilizado para instalação estará normalmente em C:\Windows\System32\spool\drivers\x64\PCC no servidor de impressão. Depois que os arquivos na pasta \3 são comparados entre dispositivos, se eles não corresponderem, o pacote no PCC é instalado. Se os arquivos na pasta \3 do servidor de impressão não forem do mesmo driver de impressora que o PCC oferece ao cliente, o cliente de impressão comparará os arquivos e encontrará a incompatibilidade toda vez que imprimir.
Para mitigar este problema, verifique se está a utilizar os controladores mais recentes para todos os seus dispositivos de impressão. Sempre que possível, utilize a mesma versão do controlador de impressão no cliente de impressão e no servidor de impressão. Se a atualização dos controladores no seu ambiente não resolver o problema, contacte o suporte do fabricante da impressora (OEM).
P2: Instalei as atualizações lançadas a 14 de setembro de 2021 e alguns dispositivos Windows não conseguem imprimir em impressoras de rede. Há algum pedido necessário para instalar atualizações em clientes de impressão e servidores de impressão?
R2: Antes de instalar as atualizações lançadas a 14 de setembro de 2021 ou posterior nos servidores de impressão, os clientes de impressão têm de ter instalado as atualizações lançadas a 12 de janeiro de 2021 ou posterior. Os dispositivos Windows não serão impressos se não tiverem instalado uma atualização lançada a 12 de janeiro de 2021 ou posterior.
Observação Não precisa de instalar atualizações anteriores e pode instalar qualquer atualização após 12 de janeiro de 2021 em clientes de impressão. Recomendamos que instale a atualização cumulativa mais recente tanto nos clientes como nos servidores.