Hantera distribution av RPC-bindningsändringar för skrivare för CVE-2021-1678 (KB4599464)

Gäller för
Windows Server 2008 Service Pack 2 Windows Server 2008 R2 Service Pack 1 Windows Server 2012 Windows Server 2012 R2 Windows Server version 1809 Windows Server version 1903 Windows Server version 1909 Windows Server 2016, all editions Windows Server 2019 Windows Server version 2004 Windows Server version 20H2

Sammanfattning

Det finns en säkerhetsförbikopplingsrisk i det sätt som RPC-bindningen (Printer Remote Procedure Call) hanterar autentisering för fjärr-Winspool-gränssnittet. Windows-uppdateringen åtgärdar den här säkerhetsrisken genom att öka RPC-autentiseringsnivån och införa en ny princip och registernyckel som gör det möjligt för kunder att inaktivera eller aktivera tvingande läge på serversidan för att öka autentiseringsnivån.

Mer information om säkerhetsrisken finns i CVE-2021-1678 | Sårbarhet med förfalskning i Windows Print Spooler.

Vidta åtgärder

Om du vill skydda miljön och förhindra avbrott måste du göra följande:
  1. Uppdatera alla klient- och serverenheter genom att installera Windows-uppdateringen från 12 januari 2021 eller en senare Windows-uppdatering. Tänk på att installationen av Windows-uppdateringen inte helt åtgärdar säkerhetsrisken och att den kan påverka din aktuella utskriftskonfiguration. Du måste utföra steg 2.
  2. Aktivera tvingande läge på utskriftsservern. Tvingande läge kommer att aktiveras på alla Windows-enheter vid något framtida datum.

Tidpunkter för uppdateringar

Dessa Windows-uppdateringar släpps i två faser:

  • Den första distributionsfasen för Windows-uppdateringar som släpptes 12 januari 2021 eller senare.
  • Tvingande fas för Windows-uppdateringar som släpps vid något framtida datum.

12 januari 2021: Inledande distributionsfas

Den inledande distributionsfasen börjar med Windows-uppdateringen som släpptes den 12 januari 2021 genom att ge serverkunder möjlighet att aktivera den här ökade säkerhetsnivån på egen hand baserat på miljöns beredskap.

Den här versionen:

  • Åtgärdar CVE-2021-1678 (i distributionsläge inställt på Av som standard).
  • Lägger till stöd för registervärdet RpcAuthnLevelPrivacyEnabled för att möjliggöra en ökning av auktoriseringsnivån för IRemoteWinspool-skydd för skrivare.

Åtgärden består i att installera Windows-uppdateringar på alla enheter på klient- och servernivå.

14 september 2021: Verkställighetsfasen

Versionen övergår till verkställighetsfasen den 14 september 2021.  Tvingande fas framtvingar ändringarna för att hantera CVE-2021-1678 genom att öka auktoriseringsnivån utan att behöva ange registervärdet.

Vägledning för installation

Innan du installerar den här uppdateringen

Du måste ha följande obligatoriska uppdateringar installerade innan du installerar den här uppdateringen. Om du använder Windows Update erbjuds dessa nödvändiga uppdateringar automatiskt efter behov.

  • Du måste ha SHA-2-uppdateringen (KB4474419) från 23 september 2019 eller en senare SHA-2-uppdatering installerad och sedan starta om enheten innan du installerar den här uppdateringen. Mer information om SHA-2-uppdateringar finns i 2019 SHA-2 Code Signing Support requirement for Windows and WSUS.
  • För Windows Server 2008 R2 SP1 måste du ha installerat Servicing Stack-uppdateringen (SSU) (KB4490628) från 12 mars 2019. När uppdateringen KB4490628 har installerats rekommenderar vi att du installerar den senaste SSU-uppdateringen. Mer information om den senaste SSU-uppdateringen finns i ADV990001 | Senaste Servicing Stack uppdateringar.
  • För Windows Server 2008 SP2 måste du ha installerat Servicing Stack-uppdateringen (SSU) (KB4493730) från 9 april 2019. När uppdateringen KB4493730 har installerats rekommenderar vi att du installerar den senaste SSU-uppdateringen. Mer information om de senaste SSU-uppdateringarna finns i ADV990001 | Senaste Servicing Stack uppdateringar.
  • Kunderna måste köpa utökade säkerhetsuppdateringar för lokala versioner av Windows Server 2008 SP2 eller Windows Server 2008 R2 SP1 efter att extended-supporten upphörde 14 januari 2020. Kunder som har köpt ESU måste följa procedurerna i KB4522133 för att fortsätta få säkerhetsuppdateringar. Mer information om ESU och vilka utgåvor som stöds finns i KB4497181.

Viktigt! Du måste starta om enheten efter att du har installerat de nödvändiga uppdateringarna.

Installera uppdateringen

Åtgärda säkerhetsrisken genom att installera Windows-uppdateringarna och aktivera tvingande läge genom att följa de här stegen:

  1. Distribuera uppdateringen från 12 januari 2021 till alla klient- och serverenheter.
  2. När alla klient- och serverenheter har uppdaterats kan fullständigt skydd aktiveras genom att ange registervärdet till 1.

Steg 1: Installera Windows-uppdateringen

Installera Windows-uppdateringen från 12 januari 2021 eller en senare Windows-uppdatering på alla klient- och serverenheter.

Uppdateringar 12 januari 2021
Windows Server produkt KB (KB) # Typ av uppdatering
Windows Server version 20H2 (Server Core-installation) 4598242 Säkerhetsuppdatering
Windows Server version 2004 (Server Core-installation) 4598242 Säkerhetsuppdatering
Windows Server version 1909 (Server Core-installation) 4598229 Säkerhetsuppdatering
Windows Server version 1903 (Server Core-installation) 4598229 Säkerhetsuppdatering
Windows Server 2019 (Server Core-installation) 4598230 Säkerhetsuppdatering
Windows Server 2019 4598230 Säkerhetsuppdatering
Windows Server 2016 (Server Core-installation) 4598243 Säkerhetsuppdatering
Windows Server 2016 4598243 Säkerhetsuppdatering
Windows Server 2012 R2 (Server Core-installation) 4598285 Månatlig samlad uppdatering
4598275 Endast säkerhet
Windows Server 2012 R2 4598285 Månatlig samlad uppdatering
4598275 Endast säkerhet
Windows Server 2012 (Server Core-installation) 4598278 Månatlig samlad uppdatering
4598297 Endast säkerhet
Windows Server 2012 4598278 Månatlig samlad uppdatering
4598297 Endast säkerhet
Windows Server 2008 R2 Service Pack 1 4598279 Månatlig samlad uppdatering
4598289 Endast säkerhet
Windows Server 2008 Service Pack 2 4598288 Månatlig samlad uppdatering
4598287 Endast säkerhet

Steg 2: Aktivera tvingande läge

Viktigt Det här avsnittet, metoden eller uppgiften innehåller steg som beskriver hur du ändrar registret. Allvarliga problem kan dock uppstå om du ändrar registret felaktigt. Se därför till att du följer de här stegen noggrant. Säkerhetskopiera registret innan du ändrar det för ytterligare skydd. Du kan då återställa registret om det uppstår problem. Mer information om hur du säkerhetskopierar och återställer registret finns i Säkerhetskopiera och återställa registret i Windows.

När alla klient- och serverenheter har uppdaterats kan du aktivera fullständigt skydd genom att distribuera tvingande läge. Gör följande:

  1. Högerklicka på Start, klicka på Kör, skriv cmd i rutan Kör och tryck sedan på Ctrl+Skift+Retur.
  2. I kommandotolken för administratör skriver du regedit och trycker sedan på Retur.
  3. Leta upp följande registerundernyckel:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print

  1. Högerklicka på Skriv ut, välj Nytt och klicka sedan på 32-bitarsvärde (DWORD-värde).
  2. Skriv RpcAuthnLevelPrivacyEnabled och tryck sedan på Retur.
  3. Högerklicka på RpcAuthnLevelPrivacyEnabled och klicka sedan på Ändra.
  4. I rutan Värdedata skriver du 1 och klickar sedan på Ok.

Anteckning Den här uppdateringen introducerar stöd för registervärdet RpcAuthnLevelPrivacyEnabled för att öka auktoriseringsnivån för IRemoteWinspool för skrivare.

Registerundernyckel HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print
Värde RpcAuthnLevelPrivacyEnabled
Datatyp REG_DWORD
Data 1: Aktiverar tvingande läge. Innan du aktiverar tvingande läge för serversidan kontrollerar du att alla klientenheter har installerat Windows-uppdateringen från 12 januari 2021 eller en senare Windows-uppdatering. Den här korrigeringen ökar auktoriseringsnivån för RPC-skrivargränssnittet IRemoteWinspool och lägger till en ny princip och registervärde på serversidan för att tvinga klienten att använda den nya auktoriseringsnivån om tvingande läge tillämpas. Om klientenheten inte har säkerhetsuppdateringen från den 12 januari 2021 eller en senare Windows-uppdatering tillämpad bryts utskriftsupplevelsen när klienten ansluter till servern via IRemoteWinspool-gränssnittet .
0: Rekommenderas inte. Inaktiverar den ökade autentiseringsnivån för skrivarens IRemoteWinspool och dina enheter är inte skyddade.
Standard Standardbeteende efter installation av uppdateringar när registernyckeln inte har angetts:
  • Uppdateringar från 12 januari 2021 eller senare har standardbeteendet 0 (noll) när de inte har angetts.
  • Uppdateringar från 14 september 2021 eller senare har standardbeteendet 1 (ett) när det inte har angetts.
Krävs en omstart? Ja, du måste starta om enheten eller starta om bufferthanteraren.