KB5005652— управление новым поведением установки драйвера point и print по умолчанию (CVE-2021-34481)

Сводка

Обновлениям Windows, выпущенным 10 августа 2021 г. и более поздним версиям, по умолчанию требуются права администратора для установки драйверов. Мы внесли это изменение в поведение по умолчанию, чтобы устранить риск на всех устройствах Windows, включая устройства, которые не используют функции "Точка" и "Печать" или "Печать". Дополнительные сведения см. в разделах Изменение поведения по умолчанию для указателей и печати и CVE-2021-34481.

По умолчанию пользователи, не являющиеся администраторами, больше не смогут выполнять следующие действия с помощью указателей и печати без повышения прав администратора:

  • Установка новых принтеров с помощью драйверов на удаленном компьютере или сервере
  • Обновление существующих драйверов принтера с помощью драйверов с удаленного компьютера или сервера

Примечание Если вы не используете point и print, это изменение не повлияет на вас и будет защищено по умолчанию после установки обновлений, выпущенных 10 августа 2021 г. или более поздней версии.

Важно Клиенты печати в вашей среде должны иметь обновление, выпущенное 12 января 2021 г. или более поздней версии, прежде чем устанавливать обновления 14 сентября 2021 г.  Дополнительные сведения см. в разделе Вопрос 2 в разделе "Часто задаваемые вопросы" ниже.

Изменение поведения установки драйвера по умолчанию с помощью раздела реестра

Это поведение по умолчанию можно изменить с помощью раздела реестра в таблице ниже. Однако будьте очень осторожны при использовании нулевого значения (0), так как это делает устройства уязвимыми. Если в вашей среде необходимо использовать значение реестра 0, рекомендуется временно использовать его при настройке среды, чтобы разрешить устройствам Windows использовать значение один (1).

Расположение реестра HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint
Имя DWord RestrictDriverInstallationToAdministrators
Данные значения Поведение по умолчанию: Если для этого значения задано значение 1 , или если ключ не определен или отсутствует, потребуется права администратора для установки любого драйвера принтера при использовании point и print. Этот раздел реестра переопределит все ограничения на точечной и печати групповая политика параметры и гарантирует, что только администраторы могут устанавливать драйверы принтеров с сервера печати с помощью point и print.
Если установить значение 0, пользователи, не являющиеся администраторами, могут устанавливать подписанные и неподписанные драйверы на сервере печати, но не переопределяют параметры групповая политика "Точка" и "Печать". Следовательно, групповая политика параметры ограничения на точечной и печати могут переопределить этот параметр реестра, чтобы запретить неадминистраторам устанавливать подписанные и неподписанные драйверы печати с сервера печати. Некоторые администраторы могут задать значение 0, чтобы разрешить неадминистраторам устанавливать и обновлять драйверы после добавления дополнительных ограничений, включая добавление параметра политики, ограничивающего, откуда можно устанавливать драйверы.
Важно Сочетание мер по устранению рисков, эквивалентных параметру RestrictDriverInstallationToAdministrators, не существует.
Примечание Обновления выпущенных 6 июля 2021 г. или более поздних версий по умолчанию имеет значение 0 (отключено) до установки обновлений, выпущенных 10 августа 2021 г. или более поздней версии. Обновления, выпущенные 10 августа 2021 г. или более поздней версии, имеют значение по умолчанию 1 (включено).
Требования к перезапуску При создании или изменении этого значения реестра перезапуск не требуется.

Примечание Обновления Windows не будут устанавливать или изменять раздел реестра. Раздел реестра можно задать до или после установки обновлений, выпущенных 10 августа 2021 г. или более поздней версии.

Автоматизация добавления значения реестра RestrictDriverInstallationToAdministrators

Чтобы автоматизировать добавление значения реестра RestrictDriverInstallationToAdministrators, выполните следующие действия.

  1. Откройте окно командной строки (cmd.exe) с повышенными разрешениями.
  2. Введите следующую команду и нажмите клавишу ВВОД:
    reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint" /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 1 /f

Установка RestrictDriverInstallationToAdministrators с помощью групповая политика

После установки обновлений, выпущенных 12 октября 2021 г. или более поздней версии, вы также можете настроить RestrictDriverInstallationToAdministrators с помощью групповая политика, выполнив следующие инструкции:

  1. Откройте средство редактора групповой политики и перейдите в раздел Конфигурация> компьютераАдминистративные шаблоны>Принтеры.
  2. Задайте для параметра Ограничения установки драйвера печати значение Администраторы значение "Включено". В реестре параметра RestrictDriverInstallationToAdministrators будет задано значение 1.

Установка драйверов печати при принудительном применении нового параметра по умолчанию

Если параметр RestrictDriverInstallationToAdministrators задан как не определенный или равный 1, в зависимости от среды, пользователи должны использовать один из следующих методов для установки принтеров:

  • Укажите имя пользователя и пароль администратора при запросе учетных данных при попытке установить драйвер принтера.
  • Включите необходимые драйверы принтера в образ ОС.
  • Временно установите для параметра RestrictDriverInstallationToAdministrators значение 0, чтобы установить драйверы принтера.

Примечание Если вы не можете установить драйверы принтера даже с правами администратора, необходимо отключить групповая политика Только использовать точку пакета и печать.

Следующие меры по устранению рисков помогут защитить все среды, но особенно если необходимо задать для параметра RestrictDriverInstallationToAdministrators значение 0. Эти меры не полностью устраняют уязвимости в CVE-2021-34481.

Важно Сочетание мер по устранению рисков, эквивалентных параметру RestrictDriverInstallationToAdministrators, не существует.

Убедитесь, что параметр RpcAuthnLevelPrivacyEnabled имеет значение 1 или не определен.

Убедитесь, что параметр RpcAuthnLevelPrivacyEnabled имеет значение 1 или не определен, как описано в разделе Управление развертыванием изменений привязки RPC принтера для CVE-2021-1678 (KB4599464).

Убедитесь, что для Запросы безопасности включены точки и печати.

Убедитесь, что для точки и печати включены Запросы безопасности, как описано в разделе KB5005010: ограничение установки новых драйверов принтера после применения обновлений от 6 июля 2021 г.

Разрешить пользователям подключаться только к определенным серверам печати, которым вы доверяете

Эта политика, ограничения на точечной и печати, применяется к принтерам point и print с использованием на сервере драйвера, не поддерживающего пакет.

Выполните следующие действия.

  1. Откройте консоль управления групповая политика (GPMC).
  2. В дереве консоли GPMC перейдите к домену или подразделению, в котором хранятся учетные записи пользователей, для которых требуется изменить параметры безопасности драйвера принтера.
  3. Щелкните правой кнопкой мыши соответствующий домен или подразделение и выберите создать объект групповой политики в этом домене и связать его здесь. Введите имя нового объекта групповая политика и нажмите кнопку ОК.
  4. Щелкните правой кнопкой мыши созданный объект групповой политики и выберите команду Изменить.
  5. В окне редактора управления групповая политика выберите Конфигурация компьютера, Политики, Административные шаблоны и Принтеры.
  6. Щелкните правой кнопкой мыши Пункты и ограничения печати, а затем выберите команду Изменить.
  7. В диалоговом окне Ограничения на точечной и печати нажмите кнопку Включено.
  8. Установите флажок Пользователи могут указывать и печатать на эти серверы , если он еще не установлен.
  9. Введите полные имена серверов. Разделите каждое имя с помощью точки с запятой (;).
    Примечание После установки обновлений, выпущенных 21 сентября 2021 г. или более поздней версии, эту групповую политику можно настроить с разделителями точками или точками (.) IP-адреса, взаимозаменяемо с полными именами узлов.
  10. В поле При установке драйверов для нового подключения выберите Показать предупреждение и Запрос с повышенными привилегиями.
  11. В поле При обновлении драйверов для существующего подключения выберите Показать предупреждение и Запрос с повышенными привилегиями.
  12. Нажмите кнопку ОК.

Разрешить пользователям подключаться только к определенным серверам точки упаковки и печати, которым вы доверяете

Эта политика , "Точка упаковки" и "Печать — утвержденные серверы", ограничивает поведение клиента, разрешая подключения к точкам и печати только определенным серверам, которые используют драйверы, поддерживающие пакеты.

Выполните следующие действия.

  1. На контроллере домена выберите Пуск, Администрирование, а затем управление групповая политика. Кроме того, нажмите кнопку Пуск, выберите Выполнить, введите GPMC.MSC и нажмите клавишу ВВОД.

  2. Разверните лес, а затем разверните домены.

  3. В разделе домена выберите подразделение, в котором вы хотите создать эту политику.

  4. Щелкните правой кнопкой мыши подразделение, а затем выберите Создать объект групповой политики в этом домене и свяжите его здесь.

  5. Присвойте объекту групповой политики имя и нажмите кнопку ОК.

  6. Щелкните правой кнопкой мыши только что созданный объект групповая политика и выберите изменить, чтобы открыть редактор управления групповая политика.

  7. В редакторе управления групповая политика разверните следующие папки:

    1. Конфигурация компьютера
    2. Политики
    3. Административные шаблоны
    4. Локальные компьютерные политики
    5. "Принтеры"

  8. Включите Пункты упаковки и печать — утвержденные серверы и нажмите кнопку Показать...

  9. Введите полные имена серверов. Разделите каждое имя с помощью точки с запятой (;).
    Примечание После установки обновлений, выпущенных 21 сентября 2021 г. или более поздней версии, эту групповую политику можно настроить с разделителями точками или точками (.) IP-адреса, взаимозаменяемо с полными именами узлов.

Вопросы и ответы

Вопрос 1. Каждый раз, когда я пытаюсь напечатать, я получаю запрос "Вы доверяете этому принтеру", и ему требуются учетные данные администратора для продолжения.  Это ожидаемо?

Ответ 1. Запрос на каждое задание печати не ожидается. Большинство сред или устройств с этой проблемой будут устранены путем установки обновлений, выпущенных 12 октября 2021 г. или более поздней версии.  Эти обновления устраняют проблему, связанную с серверами печати и клиентами печати, которые не были в одном часовом поясе.

Если эта проблема по-прежнему возникает после установки обновлений, выпущенных 12 октября 2021 г. или более поздней версии, возможно, потребуется обратиться к производителю принтера за обновленными драйверами.  Эта проблема также может возникнуть, если драйвер печати на клиенте печати и сервере печати используют одно и то же имя файла, но на сервере установлена более новая версия файла драйвера. Когда клиент печати подключается к серверу печати, он находит новый файл драйвера и предлагает обновить драйверы в клиенте печати. Однако файл в пакете, который он предлагается для установки, не включает более новую версию файла драйвера.

Сравниваемые файлы — это драйверы в папке spool, обычно в папке C:\Windows\System32\spool\drivers\x64\3 как на клиенте печати, так и на сервере печати.  Пакет драйверов, предлагаемый для установки, обычно находится в папке C:\Windows\System32\spool\drivers\x64\PCC на сервере печати.  После сравнения файлов в папке \3 между устройствами, если они не совпадают, устанавливается пакет в PCC .  Если файлы в папке \3 сервера печати находятся не из того же драйвера принтера, который PCC предлагает клиенту, клиент печати будет сравнивать файлы и находить несоответствие каждый раз при печати.

Чтобы устранить эту проблему, убедитесь, что для всех устройств печати используются последние версии драйверов.  По возможности используйте одну и ту же версию драйвера печати на клиенте печати и сервере печати. Если обновление драйверов в вашей среде не устраняет проблему, обратитесь в службу поддержки изготовителя принтера (OEM).

В2. Я установил обновления, выпущенные 14 сентября 2021 г., и некоторые устройства с Windows не могут печатать на сетевых принтерах.  Есть ли заказ на установку обновлений на клиентах печати и серверах печати?

A2. Перед установкой обновлений, выпущенных 14 сентября 2021 г. или более поздней версии на серверах печати, клиенты печати должны установить обновления, выпущенные 12 января 2021 г. или более поздней версии. Устройства Windows не будут печататься, если на них не установлено обновление, выпущенное 12 января 2021 г. или более поздней версии.

Примечание Вам не нужно устанавливать более ранние обновления и вы можете установить любое обновление после 12 января 2021 г. на клиентах печати.  Рекомендуется установить последнее накопительное обновление как на клиентах, так и на серверах.

Ресурсы