Spravovanie nasadenia zmien viazania RPC tlačiarne pre CVE-2021-1678 (KB4599464)

Vzťahuje sa na
Windows Server 2008 Service Pack 2 Windows Server 2008 R2 Service Pack 1 Windows Server 2012 Windows Server 2012 R2 Windows Server version 1809 Windows Server version 1903 Windows Server version 1909 Windows Server 2016, all editions Windows Server 2019 Windows Server version 2004 Windows Server version 20H2

Súhrn

Nedostatočné zabezpečenie obídenia zabezpečenia existuje v spôsobe, akým väzba vzdialeného volania procedúr tlačiarne (RPC) spracováva overenie pre vzdialené rozhranie Winspool. Aktualizácia Windowsu rieši toto riziko zvýšením úrovne overenia RPC a zavedením novej politiky a kľúča databázy Registry, ktorý zákazníkom umožní vypnúť alebo povoliť režim presadzovania na strane servera s cieľom zvýšiť úroveň overovania.

Ďalšie informácie o zraniteľnosti nájdete v CVE-2021-1678 | Zraniteľnosť predstierania iného odosielateľa tlače systému Windows.

Prijatie opatrenia

Ak chcete chrániť svoje životné prostredie a zabrániť výpadkom, postupujte takto:
  1. Aktualizujte všetky klientske a serverové zariadenia inštaláciou aktualizácie Windowsu z 12. januára 2021 alebo novšej aktualizácie Windowsu. Upozorňujeme, že inštalácia aktualizácie systému Windows úplne nezmierňuje nedostatky zabezpečenia a môže mať vplyv na aktuálne nastavenie tlače. Musíte vykonať krok 2.
  2. Zapnite režim presadzovania na tlačovom serveri. Režim vynútenia sa niekedy v budúcnosti zapne vo všetkých zariadeniach s Windowsom.

Načasovanie aktualizácií

Tieto aktualizácie Windowsu budú vydané v dvoch fázach:

  • Počiatočná fáza nasadenia aktualizácií Windowsu vydaných 12. januára 2021 alebo neskôr.
  • Fáza presadzovania aktualizácií Windowsu vydaná v budúcnosti.

12. januára 2021: Počiatočná fáza nasadenia

Počiatočná fáza nasadenia sa začína aktualizáciou Windowsu vydanou 12. januára 2021, ktorá zákazníkom serverov poskytuje možnosť povoliť si túto zvýšenú úroveň zabezpečenia sami na základe pripravenosti prostredia.

Toto vydanie:

  • Rieši CVE-2021-1678 (v režime nasadenia je predvolene nastavené na možnosť Vypnuté ).
  • Pridáva podporu pre hodnotu databázy Registry RpcAuthnLevelPrivacyEnabled a umožňuje zvýšenie úrovne oprávnení pre ochranu IRemoteWinspool tlačiarne.

Zmiernenie pozostáva z inštalácie aktualizácií Windowsu na všetkých zariadeniach na úrovni klienta a servera.

14. septembra 2021: Fáza presadzovania

Vydanie prejde do fázy presadzovania pravidiel 14. septembra 2021.  Fáza vynútenia vynúti zmeny riešenia CVE-2021-1678 zvýšením úrovne oprávnení bez toho, aby bolo potrebné nastaviť hodnotu databázy Registry.

Pokyny na inštaláciu

Pred inštaláciou tejto aktualizácie

Pred použitím tejto aktualizácie musíte mať nainštalované nasledujúce požadované aktualizácie. Ak používate Windows Update, požadované aktualizácie sa ponúknu automaticky podľa potreby.

  • Musíte mať nainštalovanú aktualizáciu certifikátov SHA-2 (KB4474419) z 23. septembra 2019 alebo novšiu aktualizáciu certifikátov SHA-2 a potom reštartovať zariadenie pred použitím tejto aktualizácie. Ďalšie informácie o aktualizáciách certifikátov SHA-2 nájdete v téme Požiadavky na podporu podpisu kódu 2019 SHA-2 pre Windows a WSUS.
  • Pre Windows Server 2008 R2 SP1 musíte mať nainštalovanú aktualizáciu SSU (Servicing Stack Update) (KB4490628) z 12. marca 2019. Po nainštalovaní aktualizácie KB4490628 odporúčame nainštalovať najnovšiu aktualizáciu SSU. Ďalšie informácie o najnovšej aktualizácii SSU nájdete v téme ADV990001 | Najnovšie Aktualizácie SSU.
  • Pre Windows Server 2008 SP2 musíte mať nainštalovanú aktualizáciu SSU (Servicing Stack Update) (KB4493730) z 9. apríla 2019. Po nainštalovaní aktualizácie KB4493730 odporúčame nainštalovať najnovšiu aktualizáciu SSU. Ďalšie informácie o najnovších aktualizáciách SSU nájdete v téme ADV990001 | Najnovšie Aktualizácie SSU.
  • Po ukončení rozšírenej podpory 14. januára 2020 si zákazníci musia kúpiť program predĺženej doby poskytovania aktualizácií zabezpečenia (ESU) pre lokálne verzie systému Windows Server 2008 SP2 SP2 alebo Windows Server 2008 R2 SP1. Zákazníci, ktorí si zakúpili ESU, musia dodržiavať postupy v KB4522133 , aby mohli naďalej dostávať aktualizácie zabezpečenia. Ďalšie informácie o ESU a vydaniach, ktoré sú podporované, nájdete v téme KB4497181.

Dôležité: Po nainštalovaní týchto požadovaných aktualizácií musíte zariadenie reštartovať.

Inštalovať aktualizáciu

Ak chcete vyriešiť nedostatky zabezpečenia, nainštalujte aktualizácie Windowsu a zapnite režim presadzovania pomocou týchto krokov:

  1. Nasaďte aktualizáciu z 12. januára 2021 vo všetkých klientskych a serverových zariadeniach.
  2. Po aktualizácii všetkých klientskych a serverových zariadení je možné zapnúť úplnú ochranu nastavením hodnoty databázy Registry na hodnotu 1.

Krok 1: Inštalácia aktualizácie Windowsu

Nainštalujte aktualizáciu Windowsu z 12. januára 2021 alebo novšiu aktualizáciu Windowsu do všetkých klientskych a serverových zariadení.

Aktualizácie z 12. januára 2021
Produkt Windows Server Článok vedomostnej databázy Knowledge Base # Typ aktualizácie
Windows Server, verzia 20H2 (inštalácia jadra servera) 4598242 Aktualizácia zabezpečenia
Windows Server, verzia 2004 (inštalácia Server Core) 4598242 Aktualizácia zabezpečenia
Windows Server, verzia 1909 (inštalácia Server Core) 4598229 Aktualizácia zabezpečenia
Windows Server, verzia 1903 (inštalácia Server Core) 4598229 Aktualizácia zabezpečenia
Windows Server 2019 (inštalácia Server Core) 4598230 Aktualizácia zabezpečenia
Windows Server 2019 4598230 Aktualizácia zabezpečenia
Windows Server 2016 (inštalácia Server Core) 4598243 Aktualizácia zabezpečenia
Windows Server 2016 4598243 Aktualizácia zabezpečenia
Windows Server 2012 R2 (inštalácia Server Core) 4598285 Mesačná súhrnná aktualizácia
4598275 Iba zabezpečenie
Windows Server 2012 R2 4598285 Mesačná súhrnná aktualizácia
4598275 Iba zabezpečenie
Windows Server 2012 (inštalácia Server Core) 4598278 Mesačná súhrnná aktualizácia
4598297 Iba zabezpečenie
Windows Server 2012 4598278 Mesačná súhrnná aktualizácia
4598297 Iba zabezpečenie
Windows Server 2008 R2 Service Pack 1 4598279 Mesačná súhrnná aktualizácia
4598289 Iba zabezpečenie
Windows Server 2008 Service Pack 2 4598288 Mesačná súhrnná aktualizácia
4598287 Iba zabezpečenie

Krok č. 2: Zapnite režim presadzovania pravidiel

Dôležité Táto časť, metóda alebo úloha obsahuje kroky na vykonanie zmien v databáze Registry. V prípade nesprávnej úpravy databázy Registry sa však môžu vyskytnúť vážne problémy. Preto postup podľa týchto krokov vykonávajte opatrne. Na zvýšenie bezpečnosti si databázu Registry pred vykonaním úprav zálohujte. V prípade výskytu problému tak potom môžete databázu Registry obnoviť. Ďalšie informácie o zálohovaní a obnovení databázy Registry nájdete v téme Zálohovanie a obnovovanie databázy Registry v systéme Windows.

Po aktualizácii všetkých klientskych a serverových zariadení môžete zapnúť úplnú ochranu nasadením režimu presadzovania pravidiel . Postupujte takto:

  1. Kliknite pravým tlačidlom myši na položku Štart, kliknite na položku Spustiť, do poľa Spustiť zadajte príkaz cmd a potom stlačte kláves Ctrl+Shift+Enter.
  2. Do príkazového riadka správcu zadajte príkaz regedit a stlačte kláves Enter.
  3. Vyhľadajte tento podkľúč databázy Registry:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print

  1. Kliknite pravým tlačidlom myši na položku Tlačiť, vyberte položku Nové a potom kliknite na položku Hodnota DWORD (32-bitová verzia).
  2. Zadajte výraz RpcAuthnLevelPrivacyEnabled a stlačte kláves Enter.
  3. Kliknite pravým tlačidlom myši na položku RpcAuthnLevelPrivacyEnabled a potom kliknite na položku Upraviť.
  4. Do poľa Údaje hodnôt zadajte hodnotu 1 a potom kliknite na tlačidlo OK.

Poznámka Táto aktualizácia zavádza podporu pre hodnotu databázy Registry RpcAuthnLevelPrivacyEnabled na zvýšenie úrovne oprávnení pre tlačiareň IRemoteWinspool.

Podkľúč databázy Registry HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print
Hodnota RpcAuthnLevelPrivacyEnabled
Typ údajov REG_DWORD
Údaje 1: Zapne režim presadzovania pravidiel . Pred zapnutím režimu vynútenia na strane servera sa uistite, že všetky klientske zariadenia majú nainštalovanú aktualizáciu Windowsu vydanú 12. januára 2021 alebo novšiu aktualizáciu Windowsu. Táto oprava zvyšuje úroveň oprávnení pre tlačiareň IRemoteWinspool RPC rozhranie a pridáva novú politiku a hodnotu databázy Registry na strane servera, aby klient musel používať novú úroveň oprávnení, ak sa použije režim vynútenia . Ak v klientskom zariadení nie je použitá aktualizácia zabezpečenia z 12. januára 2021 alebo novšia aktualizácia Windowsu, tlač sa preruší, keď sa klient pripojí k serveru prostredníctvom rozhrania IRemoteWinspool .
0: Neodporúča sa. Zakáže zvýšenie úrovne overovania pre tlačiareň IRemoteWinspool a vaše zariadenia nie sú chránené.
Predvolená hodnota Predvolené správanie po inštalácii aktualizácií, keď nie je nastavený kľúč databázy Registry:
  • Aktualizácie z 12. januára 2021 alebo novšie aktualizácie majú predvolené správanie 0 (nula), ak nie sú nastavené.
  • Aktualizácie zo 14. septembra 2021 alebo novšie aktualizácie majú predvolené správanie 1 (jeden), ak nie sú nastavené.
Vyžaduje sa reštart? Áno, vyžaduje sa reštartovanie zariadenia alebo reštartovanie služby zaraďovača.