摘要
2021 年 7 月 6 日及之后发布的安全更新包含对 Windows 打印后台处理程序服务中的远程代码执行漏洞的保护， (spoolsv.exe) 称为“PrintNightmare”，记录在 CVE-2021-34527 中。 安装 2021 年 7 月及更高版本更新后，非管理员（包括打印机操作员等委派管理员组）无法将已签名和未签名的打印机驱动程序安装到打印服务器。 默认情况下，只有管理员才能将已签名和未签名的打印机驱动程序安装到打印服务器。
备注 在安装 2021 年 7 月带外以及包含 CVE-2021-34527 保护的更高版本 Windows 更新之前，打印机操作员的安全组可以在打印机服务器上安装已签名和未签名的打印机驱动程序。 从 2021 年 7 月带外更新开始，需要管理员凭据才能在打印机服务器上安装已签名和未签名的打印机驱动程序。 （可选）要替代所有“指向并打印限制”组策略设置，并确保只有管理员才能在打印服务器上安装打印机驱动程序，请将 RestrictDriverInstallationToAdministrators 注册表值配置为 1。
建议立即在所有受支持的 Windows 客户端和服务器操作系统上安装 2021 年 7 月 6 日或之后发布的最新 Windows 更新，从当前托管打印后台处理程序服务的设备开始。 接下来，将“指向并打印限制”组组策略设置中的“为新连接安装驱动程序时”和“更新现有连接的驱动程序时”设置为“显示警告和提升提示”。
解决方案
- 安装 2021 年 7 月带外或更高版本的更新。
- 检查以下条件是否为 true：
注册表设置：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint
- NoWarningNoElevationOnInstall = 0 (DWORD) 或未定义 (默认设置)
- UpdatePromptSettings = 0 (DWORD) 或未定义 (默认设置)
组策略：尚未配置“指向并打印限制”组策略。
如果这两个条件都成立，则你不会轻易受到 CVE-2021-34527 的攻击，因此无需采取进一步措施。 如果任一条件不成立，则容易受到攻击。 按照以下步骤将“指向并打印限制”组策略更改为安全配置。
打开组策略编辑器工具，然后转到 “计算机配置>”、“管理模板”、“>打印机”。
按如下方式配置“指向并打印限制”组策略设置：
- 将“指向并打印限制”组策略设置设置为“已启用”。
- “为新连接安装驱动程序时”：“显示警告和提升提示”。
- “更新现有连接的驱动程序时”： “显示警告和提升提示”。
重要 我们强烈建议您将此策略应用于托管打印后台处理程序服务的所有计算机。
重启要求： 应用这些设置后，此策略更改不需要重启设备或打印后台处理程序服务。
3. 使用以下注册表项确认组策略已正确应用：
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint
- NoWarningNoElevationOnInstall = 0 (DWORD)
- UpdatePromptSettings = 0 (DWORD)
警告 将这些值设置为非零会使安装了 CVE-2021-34527 更新的设备容易受到攻击。
备注 配置这些设置不会禁用“指向并打印”功能。
4. [推荐次数]替代“点和打印限制”，只有管理员才能在打印机服务器上安装打印驱动程序。 这是使用注册表项 RestrictDriverInstallationToAdministrators 完成的。 在 2021 年 8 月 10 日发布更新之前，2021 年 7 月 6 日或更高版本发布的汇报默认值为 0 (禁用) 。 2021 年 8 月 10 日或更高版本发布的汇报默认为 1 (启用) 。 有关如何设置 RestrictDriverInstallationToAdministrators 和其他打印相关建议的详细信息，请参阅 KB5005652 - 管理新的“指向并打印”默认驱动程序安装行为 (CVE-2021-34481)
详细信息
CVE-2021-34527 的修补程序是否会影响连接到共享网络打印机并为其安装打印驱动程序的客户端设备的默认“指向并打印”驱动程序安装方案？
否，CVE-2021-34527 的修补程序不会直接影响连接到共享网络打印机并为其安装打印驱动程序的客户端设备的默认“指向并打印”驱动程序安装方案。 在这种情况下，客户端设备连接到打印服务器，并从该受信任的服务器下载并安装驱动程序。 此方案不同于易受攻击的方案，即攻击者试图在本地或远程在打印服务器上安装恶意驱动程序。