KB5005652 – Upravljanje novega načina namestitve privzetega gonilnika »Pokaži in natisni« (CVE-2021-34481)

Povzetek

Posodobitve sistema Windows, izdane 10. avgusta 2021 in novejše, bodo za namestitev gonilnikov privzeto zahtevale skrbniške pravice. To spremembo smo uvedli kot privzeto vedenje, da bi odpravili tveganje v vseh napravah s sistemom Windows, vključno z napravami, ki ne uporabljajo funkcije »Pokaži in natisni« ali »Natisni«. Če želite več informacij, glejte Sprememba privzetega vedenja »Pokaži in natisni « in CVE-2021-34481.

Uporabniki, ki niso skrbniki, privzeto ne bodo mogli več izvajati tega z možnostjo »Pokaži in natisni«, ne da bi jim bila prisvojena pravica skrbnika:

  • Namestitev novih tiskalnikov z gonilniki v oddaljenem računalniku ali strežniku
  • Posodobitev obstoječih gonilnikov tiskalnika z gonilniki iz oddaljenega računalnika ali strežnika

Opomba Če ne uporabljate funkcije »Pokaži in natisni«, ta sprememba ne bi smela vplivati nanje in bo privzeto zaščitena po namestitvi posodobitev, izdanih 10. avgusta 2021 ali novejše.

Pomembno Odjemalci za tiskanje v vašem okolju morajo imeti posodobitev, izdano 12. januarja 2021 ali kasneje, preden namestijo posodobitve, izdane 14. septembra 2021.  Za več informacij glejte 2. vprašanje v razdelku »Pogosta vprašanja« spodaj.

Spreminjanje privzetega načina namestitve gonilnika z registrskim ključem

To privzeto vedenje lahko spremenite z registrskim ključem, ki je naveden v spodnji tabeli. Vendar bodite zelo previdni pri uporabi vrednosti nič (0), saj takšne naprave postanejo ranljive. Če morate v svojem okolju uporabiti registrsko vrednost 0, priporočamo, da jo uporabite začasno, medtem ko prilagajate okolje tako, da bodo lahko naprave s sistemom Windows uporabljale vrednost 1 (1).

Mesto registra HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint
Ime DWord RestrictDriverInstallationToAdministrators
Podatki za vrednost Privzeto vedenje: Če to vrednost nastavite na 1 ali , če ključ ni določen ali ni prisoten, potrebujete skrbniško pravico za namestitev gonilnikov tiskalnika, ko uporabljate funkcijo »Pokaži in natisni«. Ta registrski ključ preglasi vse nastavitve pravilnik skupine Point and Print Restrictions in zagotavlja, da lahko samo skrbniki namestijo gonilnike tiskalnika iz tiskalniškega strežnika s funkcijo »Pokaži in natisni«.
Če vrednost nastavite na 0, lahko osebe, ki niso skrbniki, namestijo podpisane in nepodpisane gonilnike v tiskalniški strežnik, vendar s tem ne prepišete nastavitev pravilnik skupine »Pokaži in natisni«. Zato lahko nastavitve pravilnik skupine Point and Print Restrictions preglasijo to nastavitev registrskega ključa in tako neskrbnikom preprečijo namestitev podpisanih in nepodpisanih gonilnikov tiskalnika iz tiskalniškega strežnika. Nekateri skrbniki morda nastavijo vrednost na 0, da neskrbnikom omogočijo nameščanje in posodabljanje gonilnikov, ko dodajo dodatne omejitve, vključno z dodajanjem nastavitve pravilnika, ki omejuje, od kod je mogoče namestiti gonilnike.
Pomembno Na voljo ni nobena kombinacija ublažitev, ki bi bila enakovredna nastavitvi RestrictDriverInstallationToAdministrators na 1.
Opomba Posodobitve, izdane 6. julija 2021 ali novejše, imajo privzeto vrednost 0 (onemogočeno) do namestitve posodobitev, izdanih 10. avgusta 2021 ali pozneje. Posodobitve, izdane 10. avgusta 2021 ali novejše, imajo privzeto vrednost 1 (omogočeno).
Zahteve za ponovni zagon Pri ustvarjanju ali spreminjanju te vrednosti registra ni potreben noben vnovični zagon.

Opomba Posodobitve sistema Windows ne bodo nastavile ali spremenile registrskega ključa. Registrski ključ lahko nastavite pred ali po namestitvi posodobitev, izdanih 10. avgusta 2021 ali pozneje.

Avtomatizacija dodajanja vrednosti registra RestrictDriverInstallationToAdministrators

Če želite avtomatizirati dodajanje vrednosti registra RestrictDriverInstallationToAdministrators, sledite tem korakom:

  1. Odprite okno ukaznega poziva (cmd.exe) s povišanimi dovoljenji.
  2. Vnesite ta ukaz in pritisnite tipko Enter:
    reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint" /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 1 /f

Nastavitev RestrictDriverInstallationToAdministrators s pravilnik skupine

Po namestitvi posodobitev, izdanih 12. oktobra 2021 ali novejše, lahko z pravilnik skupine nastavite tudi RestrictDriverInstallationToAdministrators tako, da upoštevate ta navodila:

  1. Odprite orodje za urejanje pravilnika skupine in izberite Konfiguracija> računalnika– skrbniške predloge>– tiskalniki.
  2. Nastavitev »Omejitve namestitve gonilnika tiskalnika« nastavite na »Skrbniki« na »Omogočeno«. S tem boste nastavili vrednost registra za RestrictDriverInstallationToAdministrators na 1.

Namestitev gonilnikov tiskalnika, ko je vsiljena nova privzeta nastavitev

Če nastavite RestrictDriverInstallationToAdministrators kot not defined ali na 1, morajo uporabniki glede na okolje uporabiti enega od teh načinov za namestitev tiskalnikov:

  • Ko se pri poskusu namestitve gonilnika tiskalnika prikaže poziv za poverilnice, vnesite skrbniško uporabniško ime in geslo.
  • V posnetek operacijskega sistema vključite potrebne gonilnike tiskalnika.
  • Če želite namestiti gonilnike tiskalnika, začasno nastavite RestrictDriverInstallationToAdministrators na 0.

Opomba Če ne morete namestiti gonilnikov tiskalnika, niti s skrbniškimi pravicami, onemogočite pravilnik skupine »Uporabi točko paketa« in »Natisni«.

Te ublažitve lahko pomagajo zavarovati vsa okolja, še posebej pa, če morate RestrictDriverInstallationToAdministrators nastaviti na 0. Te ublažitve ne odpravljajo v celoti ranljivosti v CVE-2021-34481.

Pomembno Na voljo ni nobena kombinacija ublažitev, ki bi bila enakovredna nastavitvi RestrictDriverInstallationToAdministrators na 1.

Preverite, ali je RpcAuthnLevelPrivacyEnabled nastavljen na 1 ali ni določen

Preverite, ali je parameter RpcAuthnLevelPrivacyEnabled nastavljen na 1 ali ni določen, kot je opisano v članku Upravljanje uvajanja sprememb vpenjanja RPC tiskalnika za CVE-2021-1678 (KB4599464).

Preverite, ali so varnostni Pozivi omogočeni za funkcijo »Pokaži in natisni«

Preverite, ali so za funkcijo »Pokaži in natisni« omogočene varnostne Pozivi, kot je opisano v KB5005010: Omejevanje namestitve novih gonilnikov tiskalnika po uveljavitvi posodobitev iz 6. julija 2021.

Dovoli uporabnikom, da vzpostavijo povezavo le z določenimi tiskalniškimi strežniki, ki jim zaupate

Ta pravilnik, » Pokaži in natisni«, velja za tiskalnike »Pokaži in natisni«, ki uporabljajo gonilnik v strežniku, ki ne podpira paketa.

Upoštevajte te korake:

  1. Odprite konzolo za upravljanje pravilnik skupine (GPMC).
  2. V drevesu konzole GPMC pojdite na domeno ali organizacijsko enoto (OU), v kateri so shranjeni uporabniški računi, za katere želite spremeniti varnostne nastavitve gonilnika tiskalnika.
  3. Z desno tipko miške kliknite ustrezno domeno ali organizacijsko organizacijo in nato kliknite » Ustvari predmet pravilnika skupin« v tej domeni ter jo povežite tukaj. Vnesite ime novega predmeta pravilnik skupine (GPO) in nato kliknite »V redu«.
  4. Z desno tipko miške kliknite predmet pravilnika skupin, ki ste ga ustvarili, in nato kliknite »Uredi«.
  5. V oknu urejevalnika za upravljanje pravilnik skupine kliknite Konfiguracija računalnika, nato Pravilniki, Skrbniške predloge in še Tiskalniki.
  6. Z desno tipko miške kliknite Omejitve pokaži in natisnite in nato kliknite »Uredi«.
  7. V pogovornem oknu » Pokaži in natisni omejitve « kliknite »Omogočeno«.
  8. Potrdite polje »Uporabniki lahko kažejo in tiskajo na te strežnike« le , če to polje še ni potrjeno.
  9. Vnesite popolnoma določena imena strežnikov. Posamezna imena ločite s podpičjem (;).
    Opomba Po namestitvi posodobitev, izdanih 21. septembra 2021 ali novejše, lahko ta pravilnik skupine konfigurirate z naslovi IP, ločenimi s piko (.), izmenljivo s popolnoma določenimi imeni gostitelja.
  10. V polju » Pri nameščanju gonilnikov za novo povezavo « izberite »Pokaži opozorilo« in »Poziv na višji ravni«.
  11. V polju »Pri posodabljanju gonilnikov za obstoječo povezavo« izberite »Pokaži opozorilo« in »Poziv«.
  12. Kliknite V redu.

Uporabnikom omogoči, da vzpostavijo povezavo le z določenimi strežniki Package Point and Print, ki jim zaupate

Ta pravilnik, » Pokaži paket« in »Natisni – odobreni strežniki« bo omejil delovanje odjemalca tako, da bo dovolil le povezave »Pokaži in natisni« z določenimi strežniki, ki uporabljajo gonilnike, ki zaznavajo pakete.

Upoštevajte te korake:

  1. V krmilniku domene izberite začetni meni, Skrbniška orodja in nato Upravljanje pravilnik skupine. Lahko pa izberete tudi začetni meni, zaženi, vnesete GPMC.MSC in pritisnete tipko Enter.

  2. Razširite gozd in nato še domene.

  3. Pod svojo domeno izberite organizacijsko enoto, kjer želite ustvariti ta pravilnik.

  4. Z desno tipko miške kliknite organizacijsko organizacijo in nato izberite » Ustvari predmet pravilnika skupin v tej domeni« ter jo povežite tukaj.

  5. Poimenujte predmet pravilnika skupin in izberite »V redu«.

  6. Z desno tipko miške kliknite novo ustvarjeni predmet pravilnik skupine in nato izberite »Uredi«, da odprete urejevalnik za upravljanje pravilnik skupine.

  7. V urejevalniku za upravljanje pravilnik skupine razširite te mape:

    1. Konfiguracija računalnika
    2. Pravilniki
    3. Skrbniške predloge
    4. Lokalni računalniški pravilniki
    5. Tiskalniki

  8. Omogočite pakiranje Pokaži in natisni – odobreni strežniki in izberite gumb Pokaži ...

  9. Vnesite popolnoma določena imena strežnikov. Posamezna imena ločite s podpičjem (;).
    Opomba Po namestitvi posodobitev, izdanih 21. septembra 2021 ali novejše, lahko ta pravilnik skupine konfigurirate z naslovi IP, ločenimi s piko (.), izmenljivo s popolnoma določenimi imeni gostitelja.

Pogosta vprašanja

V1: Vsakič, ko poskušam tiskati, se prikaže poziv »Ali zaupate temu tiskalniku«, za nadaljevanje pa so potrebne skrbniške poverilnice.  Ali je to pričakovano?

O1: Poziv za vsak tiskalniški posel ni pričakovan. Večina okolij ali naprav, v katerih pride do te težave, bo odpravljena z namestitvijo posodobitev, izdanih 12. oktobra 2021 ali pozneje.  Te posodobitve odpravljajo težavo, povezano s tiskalniškimi strežniki in tiskalniškimi odjemalci, ki niso v istem časovnem pasu.

Če imate to težavo še po namestitvi posodobitev, izdanih 12. oktobra 2021 ali pozneje, se boste morda morali obrniti na proizvajalca tiskalnika za posodobljene gonilnike.  Do te težave lahko pride tudi, če tiskalniški gonilnik v tiskalniškem odjemalcu in tiskalniškem strežniku uporabljata isto ime datoteke, vendar ima strežnik novejšo različico datoteke gonilnika. Ko tiskalniški odjemalec vzpostavi povezavo s tiskalniškim strežnikom, najde novejšo datoteko gonilnika in je pozvan, da posodobi gonilnike v tiskalniškem odjemalcu. Vendar pa datoteka v paketu, ki je na voljo za namestitev, ne vključuje novejše različice datoteke gonilnika.

Datoteke, ki se primerjajo, so gonilniki v mapi spool, običajno v C:\Windows\System32\spool\drivers\x64\3 v tiskalniškem odjemalcu in tiskalniškem strežniku.  Paket gonilnikov, ki je na voljo za namestitev, je po navadi v C:\Windows\System32\spool\drivers\x64\PCC v tiskalniškem strežniku.  Ko se datoteke v mapi \3 primerjajo med napravami, če se ne ujemajo, se paket namesti v PCC .  Če datoteke v mapi \3 tiskalniškega strežnika niso iz istega gonilnika tiskalnika, ki ga PCC ponuja odjemalcu, bo tiskalniški odjemalec primerjal datoteke in poiskal neusklajenost vsakič, ko natisne.

Če želite ublažiti to težavo, preverite, ali uporabljate najnovejše gonilnike za vse tiskalne naprave.  Če je mogoče, uporabite isto različico tiskalniškega gonilnika v tiskalniškem odjemalcu in tiskalniškem strežniku. Če s posodobitvijo gonilnikov v vašem okolju ne odpravite težave, se obrnite na podporo proizvajalca tiskalnika (OEM).

V2: Namestil sem posodobitve, izdane 14. septembra 2021, in nekatere naprave s sistemom Windows ne morejo tiskati z omrežnimi tiskalniki.  Ali moram namestiti posodobitve v tiskalniških odjemalcih in tiskalniških strežnikih?

O2: Pred namestitvijo posodobitev, izdanih 14. septembra 2021 ali pozneje, v tiskalniških strežnikih morajo tiskalniški odjemalci namestiti posodobitve, izdane 12. januarja 2021 ali pozneje. Naprave s sistemom Windows ne bodo tiskale, če niso namestile posodobitve, izdane 12. januarja 2021 ali novejše.

Opomba Ni vam treba namestiti starejših posodobitev in lahko namestite katero koli posodobitev po 12. januarju 2021 v odjemalce za tiskanje.  Priporočamo, da namestite najnovejšo zbirno posodobitev v odjemalce in strežnike.

Viri