KB5005652 - (CVE-2021-34481) 管理新的点和打印默认驱动程序安装行为

摘要

默认情况下，2021 年 8 月 10 日及更高版本发布的 Windows 更新需要管理权限才能安装驱动程序。 我们对默认行为进行了此更改，以解决所有 Windows 设备（包括不使用点和打印或打印功能的设备）中的风险。 有关详细信息，请参阅 点和打印默认行为更改 和 CVE-2021-34481。

默认情况下，在不向管理员提升权限的情况下，非管理员用户将无法再使用 Point 和 Print 执行以下操作：

  • 在远程计算机或服务器上使用驱动程序安装新打印机
  • 使用远程计算机或服务器的驱动程序更新现有打印机驱动程序

注意 如果不使用 Point 和 Print，则不应受到此更改的影响，在安装 2021 年 8 月 10 日或更高版本发布的更新后，默认情况下会受到保护。

重要 在安装 2021 年 9 月 14 日发布的更新之前，环境中打印客户端必须具有发布 2021 年 1 月 12 日或更高版本的更新。  有关详细信息，请参阅下面的“常见问题”中的 第 2 季度 。

使用注册表项修改默认驱动程序安装行为

可以使用下表中的注册表项修改此默认行为。 但是，使用值为 0 (0) 时要非常小心，因为这样做会使设备易受攻击。 如果必须在环境中使用注册表值 0，我们建议在调整环境以允许 Windows 设备使用 1 (1) 的值时暂时使用它。

注册表位置 HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint
DWord 名称 RestrictDriverInstallationToAdministrators
值数据 默认行为： 将此值设置为 1 ， 或者如果未定义或不存在密钥，则需要管理员权限才能在使用 Point 和 Print 时安装任何打印机驱动程序。 此注册表项将覆盖所有点和打印限制组策略设置，并确保只有管理员才能使用 Point 和 Print 从打印服务器安装打印机驱动程序。
将值设置为 0 允许非管理员将已签名和未签名的驱动程序安装到打印服务器，但不会替代 Point 和 Print 组策略 设置。 因此，点和打印限制组策略设置可以替代此注册表项设置，以防止非管理员从打印服务器安装已签名和未签名的打印驱动程序。 某些管理员可能会将值设置为 0，以允许非管理员在添加其他限制后安装和更新驱动程序，包括添加限制驱动程序安装位置的策略设置。
重要 没有等效于将 RestrictDriverInstallationToAdministrators 设置为 1 的缓解措施组合。
注意 汇报 2021 年 7 月 6 日或更高版本发布，在安装 2021 年 8 月 10 日或更高版本发布的更新之前，) 禁用了默认值 0 (禁用。 2021 年 8 月 10 日或更高版本发布的汇报默认启用 1 个 () 。
重启要求 创建或修改此注册表值时，无需重启。

注意 Windows 更新不会设置或更改注册表项。 可以在安装 2021 年 8 月 10 日或更高版本发布的更新之前或之后设置注册表项。

自动添加 RestrictDriverInstallationToAdministrators 注册表值

若要自动添加 RestrictDriverInstallationToAdministrators 注册表值，请执行以下步骤：

  1. 打开命令提示符窗口， (具有提升权限 的cmd.exe) 。
  2. 键入以下命令，然后按 Enter：
    reg add “HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint” /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 1 /f

使用 组策略 设置 RestrictDriverInstallationToAdministrators

安装 2021 年 10 月 12 日或更高版本发布的更新后，还可以使用以下说明使用 组策略设置 RestrictDriverInstallationToAdministrators：

  1. 打开组策略编辑器工具，转到 “计算机配置>管理模板>打印机”。
  2. 将 “将打印驱动程序安装限制为管理员 ”设置设置为“已启用”。 这将 RestrictDriverInstallationToAdministrators 的注册表值设置为 1。

强制实施新的默认设置时安装打印驱动程序

如果将 RestrictDriverInstallationToAdministrators 设置为未定义或设置为 1，则根据你的环境，用户必须使用以下方法之一来安装打印机：

  • 尝试安装打印机驱动程序时，系统提示输入凭据时，请提供管理员用户名和密码。
  • 在 OS 映像中包含必要的打印机驱动程序。
  • 暂时将 RestrictDriverInstallationToAdministrators 设置为 0 以安装打印机驱动程序。

注意如果无法安装打印机驱动程序（即使具有管理员权限），则必须禁用“仅使用包点”和“打印组策略。

以下缓解措施有助于保护所有环境，尤其是在必须将 RestrictDriverInstallationToAdministrators 设置为 0 的情况下。 这些缓解措施不能完全解决 CVE-2021-34481 中的漏洞。

重要 没有等效于将 RestrictDriverInstallationToAdministrators 设置为 1 的缓解措施组合。

验证 RpcAuthnLevelPrivacyEnabled 是否设置为 1 或未定义

验证 RpcAuthnLevelPrivacyEnabled 是否设置为 1 或未按照 管理 CVE-2021-1678 (KB4599464) 的打印机 RPC 绑定更改部署 中所述进行定义。

验证是否为点和打印启用了安全提示

根据KB5005010：在应用 2021 年 7 月 6 日更新后限制安装新打印机驱动程序中所述，验证是否为点和打印启用了安全提示。

允许用户仅连接到你信任的特定打印服务器

此策略 “点和打印限制”适用于在服务器上使用非包感知驱动程序的点打印机和打印打印机。

请执行以下步骤：

  1. (GPMC) 打开组策略管理控制台。
  2. 在 GPMC 控制台树中，转到存储要修改打印机驱动程序安全设置的用户帐户的域或组织单位 (OU) 。
  3. 右键单击相应的域或 OU，然后单击“ 在此域中创建 GPO”，并将其链接到此处。 键入新组策略对象 (GPO) 的名称，然后单击“确定”。
  4. 右键单击创建的 GPO，然后单击“ 编辑”。
  5. 在“组策略管理编辑器”窗口中，依次单击“计算机配置”、“策略”、“管理模板”和“打印机”。
  6. 右键单击“ 点和打印限制”，然后单击“ 编辑”。
  7. 在 “点和打印限制 ”对话框中，单击“ 已启用”。
  8. 选中“ 用户只能指向和打印到这些服务器 ”复选框（如果尚未选中）。
  9. 输入完全限定的服务器名称。 使用分号 (;) 分隔每个名称。
    注意 安装 2021 年 9 月 21 日或更高版本发布的更新后，可以使用句点或点 (.) 分隔的 IP 地址与完全限定的主机名互换配置此组策略。
  10. 在 “为新连接安装驱动程序时 ”框中，选择“ 显示警告”和“提升的提示”。
  11. 在 “更新现有连接驱动程序时 ”框中，选择“ 显示警告”和“提升的提示”。
  12. 单击“确定”。

允许用户仅连接到你信任的特定包点和打印服务器

此策略 “包点”和“打印 - 已批准服务器”将客户端行为限制为仅允许使用包感知驱动程序的已定义服务器的 Point 和 Print 连接。

请执行以下步骤：

  1. 在域控制器上，选择“开始”，选择“管理工具”，然后选择“组策略管理”。 或者，选择 “开始”，选择“ 运行”，键入 GPMC.MSC，然后按 Enter。

  2. 展开林，然后展开域。

  3. 在域下，选择要在其中创建此策略的 OU。

  4. 右键单击 OU，然后选择“ 在此域中创建 GPO”，并将其链接到此处。

  5. 命名 GPO，然后选择“确定”。

  6. 右键单击新创建的“组策略对象”，然后选择“编辑”以打开组策略管理编辑器。

  7. 在“组策略管理编辑器”中，展开以下文件夹：

    1. 计算机配置
    2. 策略
    3. 管理模板
    4. 本地计算机策略
    5. Printers

  8. 启用 “包点”和“打印 - 已批准的服务器 ”，然后选择“ 显示...” 按钮。

  9. 输入完全限定的服务器名称。 使用分号 (;) 分隔每个名称。
    注意 安装 2021 年 9 月 21 日或更高版本发布的更新后，可以使用句点或点 (.) 分隔的 IP 地址与完全限定的主机名互换配置此组策略。

常见问题解答

问题 1：每次尝试打印时，我都会收到一条提示，指出“你是否信任此打印机”，并且需要管理员凭据才能继续。  这是意料之中的吗？

A1：系统不会提示每个打印作业。 大多数遇到此问题的环境或设备将通过安装 2021 年 10 月 12 日或更高版本发布的更新来解决。  这些更新解决了与打印服务器和打印客户端不在同一时区相关的问题。

如果在安装 2021 年 10 月 12 日或更高版本发布的更新后仍遇到此问题，则可能需要联系打印机制造商以获取更新的驱动程序。  当打印客户端和打印服务器上的打印驱动程序使用相同的文件名，但服务器具有较新版本的驱动程序文件时，也可能会出现此问题。 当打印客户端连接到打印服务器时，它会找到较新的驱动程序文件，并提示更新打印客户端上的驱动程序。 但是，提供安装包中的文件不包括较新的驱动程序文件版本。

要比较的文件是后台处理程序文件夹中的驱动程序，通常位于打印客户端和打印服务器上的 C：\Windows\System32\spool\drivers\x64\3 中。  提供用于安装的驱动程序包通常位于打印服务器上的 C：\Windows\System32\spool\drivers\x64\PCC 中。  在设备之间比较 \3 文件夹中的文件后，如果它们不匹配，则会安装 PCC 中的包。  如果打印服务器的 \3 文件夹中的文件不是来自 PCC 提供给客户端的同一打印机驱动程序，则打印客户端将比较这些文件，并在每次打印时发现不匹配。

若要缓解此问题，请验证是否为所有打印设备使用最新的驱动程序。  如果可能，请在打印客户端和打印服务器上使用相同的打印驱动程序版本。 如果更新环境中的驱动程序无法解决问题，请联系打印机制造商的支持人员 (OEM) 。

问题 2：我安装了 2021 年 9 月 14 日发布的更新，某些 Windows 设备无法打印到网络打印机。  是否需要在打印客户端和打印服务器上安装更新？

A2：在打印服务器上安装 2021 年 9 月 14 日或更高版本发布的更新之前，打印客户端必须已安装 2021 年 1 月 12 日或更高版本发布的更新。 如果 Windows 设备未安装 2021 年 1 月 12 日或更高版本发布的更新，则不会打印。

注意 无需安装早期更新，并且可以在 2021 年 1 月 12 日之后在打印客户端上安装任何更新。  建议在客户端和服务器上安装最新的累积更新。

资源