CVE-2021-1678 (KB4599464) için Yazıcı RPC bağlama değişikliklerinin dağıtımını yönetme

Uygulandığı Öğe

Windows Server 2008 Service Pack 2 Windows Server 2008 R2 Service Pack 1 Windows Server 2012 Windows Server 2012 R2 Windows Server version 1809 Windows Server version 1903 Windows Server version 1909 Windows Server 2016, all editions Windows Server 2019 Windows Server version 2004 Windows Server version 20H2

Özet

Yazıcı Uzaktan Yordam Çağrısı (RPC) bağlamasının uzak Winspool arabirimi için kimlik doğrulamasını işleme biçiminde bir güvenlik atlama güvenlik açığı vardır. Windows güncelleştirmesi, RPC kimlik doğrulama düzeyini yükselterek ve müşterilerin kimlik doğrulama düzeyini artırmak için sunucu tarafında Zorlama modunu devre dışı bırakmasına veya etkinleştirmesine olanak tanıyan yeni bir ilke ve kayıt defteri anahtarı sunarak bu güvenlik açığını giderir.

Güvenlik açığı hakkında daha fazla bilgi edinmek için bkz. CVE-2021-1678 | Windows yazdırma biriktiricisi kimlik sahtekarlığı güvenlik açığı.

Harekete Geçin

Ortamınızı korumak ve kesintileri önlemek için aşağıdakileri yapmanız gerekir:

12 Ocak 2021 Windows güncelleştirmesini veya sonraki bir Windows güncelleştirmesini yükleyerek tüm istemci ve sunucu cihazlarını güncelleştirin. Windows güncelleştirmesini yüklemenin güvenlik açığını tam olarak azaltmadığını ve mevcut yazdırma kurulumunuzu etkileyebileceğini unutmayın. 2. Adımı gerçekleştirmeniz gerekir.
Yazdırma sunucusunda Zorlama modunu etkinleştirin. Zorlama modu, ileriki bir tarihte tüm Windows cihazlarında etkinleştirilecektir.

Güncelleştirmelerin zamanlaması

Bu Windows güncelleştirmeleri iki aşamada yayımlanacaktır:

12 Ocak 2021 tarihinde veya sonrasında yayımlanan Windows güncelleştirmelerinin ilk dağıtım aşaması.
İleriki bir tarihte yayınlanacak Windows güncelleştirmeleri için zorlama aşaması.

12 Ocak 2021: İlk Dağıtım Aşaması

İlk dağıtım aşaması, 12 Ocak 2021'de yayınlanan Windows güncelleştirmesiyle başlar ve sunucu müşterilerine, ortamlarının hazır olup olmadığına bağlı olarak bu artırılmış güvenlik düzeyini kendi başlarına etkinleştirme olanağı sağlar.

Bu sürüm:

CVE-2021-1678 sorununu giderir ( Dağıtım modu varsayılan olarak Kapalı olarak ayarlıdır).
Yazıcı IRemoteWinspool koruması için yetkilendirme düzeyinin artırılmasını etkinleştirmek üzere RpcAuthnLevelPrivacyEnabled kayıt defteri değeri için destek ekler.

Risk azaltma, istemci ve sunucu düzeyindeki tüm cihazlara Windows güncelleştirmelerinin yüklenmesinden oluşur.

14 Eylül 2021: Yürürlük Aşaması

Sürüm, 14 Eylül 2021'de uygulama aşamasına geçer. Zorlama aşaması, kayıt defteri değerini ayarlamak zorunda kalmadan yetkilendirme düzeyini artırarak CVE-2021-1678'e yönelik değişiklikleri zorunlu kılar.

Kurulum kılavuzu

Bu güncelleştirmeyi yüklemeden önce

Bu güncelleştirmeyi uygulamadan önce aşağıdaki gerekli güncelleştirmeleri yüklemiş olmanız gerekir. Windows Update kullanıyorsanız, bu gerekli güncelleştirmeler gerektiğinde otomatik olarak sunulur.

23 Eylül 2019 tarihli SHA-2 güncelleştirmesi (KB4474419) veya sonraki bir SHA-2 güncelleştirmesinin yüklü olması ve bu güncelleştirmeyi uygulamadan önce cihazınızı yeniden başlatmanız gerekir. SHA-2 güncelleştirmeleri hakkında daha fazla bilgi için bkz. Windows ve WSUS için 2019 SHA-2 Kod İmzalama Desteği gereksinimi.
Windows Server 2008 R2 SP1 için 12 Mart 2019 tarihli hizmet yığını güncelleştirmesini (SSU) (KB4490628) yüklemiş olmanız gerekir. Güncelleştirme KB4490628 yüklendikten sonra, en son SSU güncelleştirmesini yüklemenizi öneririz. En son SSU güncelleştirmesi hakkında daha fazla bilgi için ADV990001 | Latest Servicing Stack UpdatesGüncelleştirmeler.
Windows Server 2008 SP2 için 9 Nisan 2019 tarihli hizmet yığını güncelleştirmesini (SSU) (KB4493730) yüklemiş olmanız gerekir. Güncelleştirme KB4493730 yüklendikten sonra, en son SSU güncelleştirmesini yüklemenizi öneririz. En son SSU güncellemeleri hakkında daha fazla bilgi için ADV990001 | Latest Servicing Stack UpdatesGüncelleştirmeler.
Müşterilerin, genişletilmiş desteğin sona erdiği 14 Ocak 2020 tarihinden sonra Windows Server 2008 SP2 veya Windows Server 2008 R2 SP1'in şirket içi sürümleri için Genişletilmiş Güvenlik Güncelleştirmesi'ni (ESU) satın almaları gerekmektedir. ESU'yu satın alan müşterilerin güvenlik güncelleştirmelerini almaya devam edebilmeleri için KB4522133'daki yordamları izlemeleri gerekir. ESU ve hangi sürümlerin desteklendiği hakkında daha fazla bilgi için bkz. KB4497181.

Önemli Bu gerekli güncelleştirmeleri yükledikten sonra cihazınızı yeniden başlatmanız gerekir.

Güncelleştirmeyi yükle

Güvenlik açığını çözmek için şu adımları izleyerek Windows güncelleştirmelerini yükleyin ve Zorlama modunu etkinleştirin:

12 Ocak 2021 güncelleştirmesini tüm istemci ve sunucu cihazlarına dağıtın.
Tüm istemci ve sunucu cihazları güncelleştirildikten sonra, kayıt defteri değeri 1 olarak ayarlanarak tam koruma etkinleştirilebilir.

1. Adım: Windows güncelleştirmesini yükleyin

Tüm istemci ve sunucu cihazlarına 12 Ocak 2021 Windows güncelleştirmesini veya sonraki bir Windows güncelleştirmesini yükleyin.

12 Ocak 2021 güncelleştirmeleri

Windows ServerWindows Server product	KB #	Güncelleştirme türü
Windows ServerWindows Server, version 20H2 (Server Core Installation)	4598242	Güvenlik Güncelleştirmesi
Windows ServerWindows Server, sürüm 2004 (Server Core yüklemesi)	4598242	Güvenlik Güncelleştirmesi
Windows ServerWindows Server, sürüm 1909 (Server Core yüklemesi)	4598229	Güvenlik Güncelleştirmesi
Windows ServerWindows Server, sürüm 1903 (Server Core yüklemesi)	4598229	Güvenlik Güncelleştirmesi
Windows ServerWindows Server 2019 (Server Core kurulumu)	4598230	Güvenlik Güncelleştirmesi
Windows Server 2019	4598230	Güvenlik Güncelleştirmesi
Windows Server 2016Windows Server 2016 (Server Core kurulumu)	4598243	Güvenlik Güncelleştirmesi
Windows Server 2016	4598243	Güvenlik Güncelleştirmesi
Windows Server 2012Windows Server 2012 R2 (Server Core kurulumu)	4598285	Aylık Güncelleştirme Paketi
	4598275	Yalnızca güvenlik
Windows Server 2012 R2	4598285	Aylık Güncelleştirme Paketi
	4598275	Yalnızca güvenlik
Windows Server 2012Windows Server 2012 (Server Core kurulumu)	4598278	Aylık Güncelleştirme Paketi
	4598297	Yalnızca güvenlik
Windows Server 2012	4598278	Aylık Güncelleştirme Paketi
	4598297	Yalnızca güvenlik
Windows Server 2008 R2 Service Pack 1	4598279	Aylık Güncelleştirme Paketi
	4598289	Yalnızca güvenlik
Windows Server 2008 Service Pack 2	4598288	Aylık Güncelleştirme Paketi
	4598287	Yalnızca güvenlik

2. Adım: Zorlama modunu etkinleştirin

Önemli Bu bölüm, yöntem veya görev size kayıt defterinin nasıl değiştirileceğinin anlatıldığı adımları içermektedir. Ancak kayıt defterinde yanlış bir değişiklik yaparsanız, ciddi sorunlar oluşabilir. Bu nedenle, adımları dikkatle izlediğinizden emin olun. Ek koruma için, değiştirmeden önce kayıt defterinizi yedekleyin. Böylece bir sorun oluşursa kayıt defterini geri yükleyebilirsiniz. Kayıt defterini yedekleme ve geri yükleme hakkında daha fazla bilgi için Windows'da kayıt defterini yedekleme ve geri yükleme bölümüne bakın.

Tüm istemci ve sunucu cihazları güncelleştirildikten sonra, Zorlama modunu dağıtarak tam korumayı etkinleştirebilirsiniz. Bunu yapmak için aşağıdaki adımları izleyin:

Başlat'a sağ tıklayın, Çalıştır'a tıklayın, Çalıştır kutusuna cmd yazın ve ardından Ctrl+Shift+Enter tuşuna basın.
Yönetici komut istemine regedit yazın ve ardından Enter tuşuna basın.
Aşağıdaki kayıt defteri alt anahtarını bulun:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Print

Yazdır'a sağ tıklayın, Yeni'yi seçin ve ardından DWORD DEĞERİ (32-bit) Değeri'ne tıklayın.
RpcAuthnLevelPrivacyEnabled yazın ve Enter tuşuna basın.
RpcAuthnLevelPrivacyEnabled öğesini sağ tıklatın ve ardından Değiştir'i tıklatın.
Değer verisi kutusuna 1 yazın ve Tamam'a tıklayın.

Notlar Bu güncelleştirme, yazıcı IRemoteWinspool için yetkilendirme düzeyini artırmak üzere RpcAuthnLevelPrivacyEnabled kayıt defteri değeri desteği sunar.

Kayıt defteri alt anahtarı	HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print
Değer	RpcAuthnLevelPrivacyEnabled
Veri türü	REG_DWORD
Veri	1: Zorlama modunu etkinleştirir. Sunucu tarafı için Zorlama modunu etkinleştirmeden önce, tüm istemci cihazlarında 12 Ocak 2021'de yayınlanan Windows güncelleştirmesinin veya sonraki bir Windows güncelleştirmesinin yüklendiğinden emin olun. Bu düzeltme, yazıcı IRemoteWinspool RPC arabirimi için yetkilendirme düzeyini artırır ve istemcinin Zorlama modu uygulanırsa yeni yetkilendirme düzeyini kullanmasını sağlamak için sunucu tarafına yeni bir ilke ve kayıt defteri değeri ekler. İstemci cihazında 12 Ocak 2021 güvenlik güncelleştirmesi veya daha sonraki bir Windows güncelleştirmesi uygulanmamışsa istemci IRemoteWinspool arabirimi aracılığıyla sunucuya bağlandığında yazdırma deneyimi bozulur. 0: Önerilmez. Yazıcı IRemoteWinspool için kimlik doğrulama düzeyini artırmayı devre dışı bırakır ve cihazlarınız korunmaz.
Varsayılan	Kayıt defteri anahtarı ayarlanmadığında güncelleştirmeler yüklendikten sonraki varsayılan davranış: 12 Ocak 2021 veya sonraki güncelleştirmeler, ayarlanmadığında 0 (sıfır) varsayılan davranışa sahiptir. 14 Eylül 2021 veya sonraki güncelleştirmeler, ayarlanmadığında 1 (bir) varsayılan davranışa sahiptir.
Yeniden Başlatma Gerekli mi?	Evet, cihazın yeniden başlatılması veya biriktirici hizmetinin yeniden başlatılması gerekir.