KB5005652 - 管理新的指向和列印預設驅動程式安裝行為 (CVE-2021-34481)

摘要

2021 年 8 月 10 日及更新版本發行的 Windows 更新預設需要系統管理權限才能安裝驅動程式。 我們針對預設行為進行了這項變更，以解決所有 Windows 裝置中的風險，包括不使用指向和列印或列印功能的裝置。 如需詳細資訊，請參閱 指向和列印預設行為變更 和 CVE-2021-34481。

根據預設，非系統管理員使用者將無法再使用 [指向和列印] 執行下列操作，否則必須將權限提升為系統管理員：

  • 使用遠端電腦或伺服器上的驅動程式安裝新的印表機
  • 使用遠端電腦或伺服器的驅動程式更新現有的印表機驅動程式

備註 如果您沒有使用 Point and Print，應該不會受到此變更的影響，而且在安裝 2021 年 8 月 10 日或更新版本發佈的更新後，將預設受到保護。

重要 您環境中的列印用戶端必須先有 2021 年 1 月 12 日或更新版本發行的更新，然後才能安裝 2021 年 9 月 14 日發行的更新。  如需詳細資訊，請參閱下方「常見問題」的 Q2 。

使用登錄機碼修改預設驅動程式安裝行為

您可以使用下表中的登錄機碼來修改此預設行為。 不過，使用值為 0 (0) 時請務必格外小心，因為這樣做會使裝置容易受到攻擊。 如果您必須在環境中使用登錄值 0，建議您在調整環境以允許 Windows 裝置使用 1 (1) 值時暫時使用它。

登錄位置 HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint
DWord 名稱 RestrictDriverInstallationToAdministrators
值資料 預設行為： 將此值設定為 1 ，或者 如果未定義或不存在該金鑰，則在使用 Point 和 Print 時，需要系統管理員權限才能安裝任何印表機驅動程式。 此登錄機碼將覆寫所有指向和列印限制群組原則設定，並確保只有系統管理員可以使用指向和列印從列印伺服器安裝印表機驅動程式。
將值設定為 0 允許非系統管理員將已簽署和未簽署的驅動程式安裝到列印伺服器，但不會覆寫指向和列印群組原則設定。 因此，[指向和列印限制] 群組原則設定可以覆寫此登錄機碼設定，以防止非系統管理員從列印伺服器安裝已簽署和未簽署的印表機驅動程式。 某些系統管理員可能會將值設為 0，以允許非系統管理員在新增其他限制之後安裝和更新驅動程式，包括新增限制驅動程式安裝位置的原則設定。
重要 沒有等同於將 RestrictDriverInstallationToAdministrators 設定為 1 的緩和措施組合。
注意：在安裝 2021 年 8 月 10 日或更新版本發行的更新之前，於 2021 年 7 月 6 日或更新版本發行的匯報預設值為 0 (停用) 。 2021 年 8 月 10 日或更新版本發行的匯報預設為 1 (啟用) 。
重新啟動需求 建立或修改此登錄值時，不需要重新啟動。

備註 Windows 更新不會設定或變更登錄機碼。 您可以在安裝 2021 年 8 月 10 日或更新版本發佈的更新之前或之後設定登錄機碼。

自動新增 RestrictDriverInstallationToAdministrators 登錄值

若要自動新增 RestrictDriverInstallationToAdministrators 登錄值，請遵循下列步驟：

  1. 開啟 [命令提示字元] 視窗 (cmd.exe 具有較高權限的) 。
  2. 輸入下列命令，然後按下 Enter：
    reg add “HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint” /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 1 /f

使用群組原則設定 RestrictDriverInstallationToAdministrators

安裝 2021 年 10 月 12 日或更新版本發佈的更新之後，您也可以使用群組原則，使用下列指示設定 RestrictDriverInstallationToAdministrators：

  1. 開啟群組原則編輯器工具，然後移至 [電腦設定>]、[系統管理範本]、[>印表機]。
  2. 將 [ 系統管理員的限制] 列印驅動程式安裝 設定設定為 [已啟用]。 這會將 RestrictDriverInstallationToAdministrators 的登錄值設定為 1。

強制執行新的預設設定時安裝列印驅動程式

如果將 RestrictDriverInstallationToAdministrators 設為未定義或 1，視您的環境而定，使用者必須使用下列其中一種方法來安裝印表機：

  • 當您嘗試安裝印表機驅動程式時，系統提示您輸入認證時，請提供系統管理員使用者名稱和密碼。
  • 在作業系統映像中包含必要的印表機驅動程式。
  • 暫時將 RestrictDriverInstallationToAdministrators 設定為 0，以安裝印表機驅動程式。

備註如果您無法安裝印表機驅動程式，即使擁有系統管理員權限，也必須停用 [僅使用套件指向和列印] 群組原則。

下列風險降低措施可協助保護所有環境，但特別是當您必須將 RestrictDriverInstallationToAdministrators 設定為 0 時。 這些緩和措施無法完全解決 CVE-2021-34481 中的弱點。

重要 沒有等同於將 RestrictDriverInstallationToAdministrators 設定為 1 的緩和措施組合。

確認 RpcAuthnLevelPrivacyEnabled 已設定為 1 或未定義

確認 RpcAuthnLevelPrivacyEnabled 設定為 1，或未依 管理針對 CVE-2021-1678 的印表機 RPC 繫結變更 部署中所述 (KB4599464) 定義。

確認已啟用 [指向] 和 [列印] 的安全性提示

確認已針對指向和列印啟用安全性提示，如KB5005010：套用 2021 年 7 月 6 日更新後限制安裝新的印表機驅動程式中所述。

允許使用者只連線至您信任的特定列印伺服器

此原則「 指向和列印限制」適用於在伺服器上使用非套件感知驅動程式的指向和列印印表機。

請使用下列步驟：

  1. (GPMC) 開啟 群組原則 管理主控台。
  2. 在 GPMC 主控台樹狀目錄中，前往儲存您要修改印表機驅動程式安全性設定之使用者帳戶的網域或組織單位 (OU) 。
  3. 以滑鼠右鍵按一下適當的網域或 OU，然後按一下 [ 在此網域中建立 GPO]，然後連結到這裡。 輸入新 群組原則 物件的名稱 (GPO) ，然後按一下 [確定]。
  4. 以滑鼠右鍵按一下您建立的 GPO，然後按一下 [編輯]。
  5. 在 [群組原則管理編輯器] 視窗中，依序按一下 [電腦設定]、[原則]、[系統管理範本]，然後按一下 [印表機]。
  6. 以滑鼠右鍵按一下 [指向並列印限制]，然後按一下 [編輯]。
  7. 在「 指向和列印限制 」對話方塊中，按一下 「啟用」。
  8. 如果尚未選取 [ 使用者只能指向並列印到這些伺服器 ] 核取方塊，請選取該核取方塊。
  9. 輸入完整格式的伺服器名稱。 使用分號 (;) 分隔每個名稱。
    備註 安裝 2021 年 9 月 21 日或更新版本發佈的更新之後，您可以使用句點或點 (.) 分隔的 IP 位址來設定此群組原則，可與完整主機名稱互換使用。
  10. 在 [ 安裝新連線的驅動程式時] 方塊中，選取 [ 顯示警告和提升權限的提示]。
  11. 在 [ 更新現有連線的驅動程式時] 方塊中，選取 [ 顯示警告和提升權限的提示]。
  12. 按一下 [確定]。

允許使用者只連線至您信任的特定套件指向和列印伺服器

此「 封裝指向和列印 - 核准的伺服器」原則會限制用戶端行為，只允許指向和列印連線至使用套件感知驅動程式的已定義伺服器。

請使用下列步驟：

  1. 在網域控制站上，依序選取 [啟動]、[系統管理工具] 及 [群組原則管理]。 或者，選取 [ 開始]，選取 [執行]，輸入 GPMC.MSC，然後按 Enter。

  2. 展開樹系，然後展開網域。

  3. 在您的網域下，選取您要在其中建立此原則的 OU。

  4. 以滑鼠右鍵按一下 OU，然後選取 [ 在此網域中建立 GPO]，然後連結到這裡。

  5. 為 GPO 命名，然後選取 [確定]。

  6. 以滑鼠右鍵按一下新建立的群組原則物件，然後選取 [編輯] 以開啟 [群組原則管理編輯器]。

  7. 在 [群組原則管理編輯器] 中，展開下列資料夾：

    1. 電腦設定
    2. 原則
    3. 系統管理範本
    4. 本機電腦原則
    5. 印表機

  8. 啟用 套件指向和列印 - 核准的伺服器 ，然後選取 [ 顯示... ] 按鈕。

  9. 輸入完整格式的伺服器名稱。 使用分號 (;) 分隔每個名稱。
    備註 安裝 2021 年 9 月 21 日或更新版本發佈的更新之後，您可以使用句點或點 (.) 分隔的 IP 位址來設定此群組原則，可與完整主機名稱互換使用。

常見問題集

問 1：每次我嘗試列印時，都會收到提示，指出「您是否信任此印表機」，且需要系統管理員認證才能繼續列印。  這是預期行為嗎？

答 1：不會預期每個列印工作都會出現提示。 大部分遇到此問題的環境或裝置，都會安裝 2021 年 10 月 12 日或更新版本發佈的更新來解決。  這些更新解決了與列印伺服器和列印用戶端不在同一時區相關的問題。

如果您在安裝 2021 年 10 月 12 日或更新版本發佈的更新後仍然遇到此問題，您可能需要連絡印表機製造商以取得更新的驅動程式。  當列印用戶端和列印伺服器上的列印驅動程式使用相同的檔案名稱，但伺服器具有較新版本的驅動程式檔案時，也可能發生此問題。 列印用戶端連接到列印伺服器時，會找到較新的驅動程式檔案，並提示您更新列印用戶端上的驅動程式。 但是，提供安裝的套件中的檔案不包括較新的驅動程式檔案版本。

要比較的檔案是多工緩衝處理資料夾內的驅動程式，通常位於列印用戶端和列印伺服器上的 C：\Windows\System32\spool\drivers\x64\3 中。  提供安裝的驅動程式套件通常位於列印伺服器上的 C：\Windows\System32\spool\drivers\x64\PCC 中。  在裝置之間比較 \3 資料夾中的檔案後，如果它們不匹配，則在 PCC 中安裝套件。  如果列印伺服器 \3 資料夾中的檔案不是來自 PCC 提供給用戶端的相同印表機驅動程式，列印用戶端每次列印時都會比較檔案並找出不相符的項目。

若要緩解此問題，請確認您為所有列印裝置使用最新的驅動程式。  如果可能，請在列印用戶端和列印伺服器上使用相同版本的列印驅動程式。 如果更新您環境的驅動程式無法解決問題，請與您的印表機製造商 (OEM) 的客戶支援聯繫。

問 2：我已安裝 2021 年 9 月 14 日發行的更新，但某些 Windows 裝置無法列印到網路印表機。  是否有在列印用戶端和列印伺服器上安裝更新所需的訂單？

答 2： 在列印伺服器上安裝 2021 年 9 月 14 日或之後發佈的更新之前，列印用戶端必須已安裝 2021 年 1 月 12 日或更新版本發佈的更新。 如果 Windows 裝置尚未安裝 2021 年 1 月 12 日或更新版本發佈的更新，則無法列印。

備註 您不需要安裝較早的更新，也可以在列印用戶端上安裝 2021 年 1 月 12 日之後的任何更新。  我們建議您在用戶端和伺服器上安裝最新的累積更新。

資源