【漏洞通告】Windows Print Spooler远程代码执行漏洞，已支持武器化0day防护

2021年9月30日06:49:39评论81 views字数 4425阅读14分45秒阅读模式

通告编号:NS-2021-0028

2021-07-02

TAG：	Print Spooler、CVE-2021-1675、CVE-2021-34527
漏洞危害：	攻击者利用漏洞，可实现权限提升与代码执行。
版本：	1.0

漏洞概述

近日，绿盟科技CERT监测到有安全研究员在GitHub上发布了Windows Print Spooler 远程代码执行漏洞（PrintNightmare）的EXP，Print Spooler是Windows系统中管理打印相关事务的服务，用于管理所有本地和网络打印队列并控制所有打印工作。Windows系统默认开启Print Spooler服务，普通用户可以利用此漏洞提升至SYSTEM管理权限。在域环境下，域用户可远程利用该漏洞以SYSTEM权限在域控制器上执行任意代码，从而获得整个域的控制权。绿盟科技研究团队确认，此EXP可以绕过微软官方在6月安全补丁更新中发布的CVE-2021-1675修复程序。

北京时间7月2日，微软官方针对公开的EXP发布了CVE-2021-34527的漏洞通告，并提供了临时解决方案，但目前暂未发布修复补丁，此漏洞仍处于0day状态。目前EXP已扩散，请相关用户尽快采取措施进行防护。

目前mimikatz 已将此EXP武器化：

【漏洞通告】Windows Print Spooler远程代码执行漏洞，已支持武器化0day防护

参考链接：

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-1675

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527

SEE MORE →

2事件时间线

2021-06-09 微软发布月度安全补丁：通告定义CVE-2021-1675为本地提权漏洞

2021-06-09 绿盟科技CERT发布通告：指出该漏洞可实现域环境RCE

详见：【漏洞通告】绿盟获微软致谢 Windows Print Spooler权限提升与代码执行漏洞（CVE-2021-1675）

2021-06-21 微软更新通告：将CVE-2021-1675改为远程代码执行漏洞

2021-06-29 漏洞POC公开

2021-06-29 在Windows Server 2019系统补丁环境复现视频公开

2021-07-01 mimikatz实现武器化集成

2021-07-02 微软紧急发布CVE-2021-34527通告（未发布补丁）

2021-07-02 绿盟科技CERT更新通告

3影响范围

受影响版本

Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows RT 8.1
Windows 8.1 for x64-based systems
Windows 8.1 for 32-bit systems
Windows 7 for x64-based Systems Service Pack 1
Windows 7 for 32-bit Systems Service Pack 1
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 10 for 32-bit Systems
Windows Server, version 20H2 (Server Core Installation)
Windows 10 Version 20H2 for ARM64-based Systems
Windows 10 Version 20H2 for 32-bit Systems
Windows 10 Version 20H2 for x64-based Systems
Windows Server, version 2004 (Server Core installation)
Windows 10 Version 2004 for x64-based Systems
Windows 10 Version 2004 for ARM64-based Systems
Windows 10 Version 2004 for 32-bit Systems
Windows 10 Version 21H1 for 32-bit Systems
Windows 10 Version 21H1 for ARM64-based Systems
Windows 10 Version 21H1 for x64-based Systems
Windows Server, version 1909 (Server Core installation)
Windows 10 Version 1909 for ARM64-based Systems
Windows 10 Version 1909 for x64-based Systems
Windows 10 Version 1909 for 32-bit Systems
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems

4漏洞检测

4.1 产品检测

绿盟科技远程安全评估系统（RSAS）、网络入侵检测系统（IDS）与综合威胁探针（UTS）已具备对此漏洞的扫描与检测能力，请有部署以上设备的用户升级至最新版本。

安全产品版本	升级包版本号	升级包下载链接
RSAS V6 系统插件包	V6.0R02F01.2400	http://update.nsfocus.com/update/listRsasDetail/v/vulsys
IDS	5.6.9.25756	http://update.nsfocus.com/update/listNewidsDetail/v/rule5.6.9
	5.6.10.25756	http://update.nsfocus.com/update/listNewidsDetail/v/rule5.6.10
	5.6.11.25756	http://update.nsfocus.com/update/listNewidsDetail/v/rule5.6.11
UTS	5.6.10.25756	http://update.nsfocus.com/update/listBsaUtsDetail/v/rule2.0.0

关于RSAS的升级配置指导，请参考如下链接：

https://mp.weixin.qq.com/s/aLAWXs5DgRhNHf4WHHhQyg

5漏洞防护

5.1 CVE-2021-1675补丁更新

目前微软官方已针对支持的系统版本发布了修复CVE-2021-1675漏洞的安全补丁，强烈建议受影响用户尽快安装补丁进行防护，下载链接：
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-1675

5.2 临时防护措施

一、用户可通过停止并禁用Print Spooler服务对CVE-2021-34527漏洞进行缓解：

进入任务管理器，选择“服务”->”打开服务”->”选择Print Spooler”->”右键属性”，

【漏洞通告】Windows Print Spooler远程代码执行漏洞，已支持武器化0day防护

启动类型”选择”禁用”，并点击”停止”，关闭服务，点击”应用”和”确定”，使配置生效。

【漏洞通告】Windows Print Spooler远程代码执行漏洞，已支持武器化0day防护

注：停用此服务将导致打印功能失效。

二、通过组策略禁用入站远程打印：

运行组策略编辑器（Win+R，输入gpedit.msc，打开组策略编辑器），依次浏览到：计算机配置/管理模板/打印机：禁用“允许打印后台处理程序接受客户端连接：”策略以阻止远程攻击。

注：此策略将通过阻止入站远程打印操作来阻止远程攻击。该系统将不再用作打印服务器，但仍然可以本地打印到直接连接的设备。

5.3 产品防护

针对上述漏洞，绿盟科技网络入侵防护系统(IPS) 已发布规则升级包，请相关用户升级至最新版本规则，以形成安全产品防护能力。安全防护产品规则版本号如下：

安全防护产品	规则版本号	升级包下载链接
IPS	5.6.9.25756	http://update.nsfocus.com/update/listNewipsDetail/v/rule5.6.9
	5.6.10.25756	http://update.nsfocus.com/update/listNewipsDetail/v/rule5.6.10
	5.6.11.25756	http://update.nsfocus.com/update/listNewipsDetail/v/rule5.6.11

产品规则升级的操作步骤详见如下链接：

IPS：https://mp.weixin.qq.com/s/JsRktENQNj1TdZSU62N0Ww

END

【漏洞通告】Windows Print Spooler远程代码执行漏洞，已支持武器化0day防护

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

【漏洞通告】Windows Print Spooler远程代码执行漏洞，已支持武器化0day防护

绿盟科技CERT ∣微信公众号

长按识别二维码，关注网络安全威胁信息

本文始发于微信公众号（绿盟科技CERT）：【漏洞通告】Windows Print Spooler远程代码执行漏洞，已支持武器化0day防护

左青龙
微信扫一扫

右白虎
微信扫一扫

【漏洞通告】Windows Print Spooler远程代码执行漏洞，已支持武器化0day防护

DataCube3 getting_index_data.php SQL注入漏洞

用友NC Cloud importhttpscer接口存在任意文件上传漏洞

GL.iNet 路由器身份验证绕过漏洞 (CVE-2023-46453)

【漏洞预警】SEMCMS安全漏洞(CVE-2024-30938)

1day分享｜ Geoserver命令执行漏洞

漏洞预警 JEECMS o_upload 文件上传漏洞

用友U9 PatchFile.asmx接口存在任意文件上传漏洞

万户ezOFFICE-wf_printnum.jspSQL注入漏洞-附py

【漏洞预警】Progress Flowmon命令注入漏洞（CVE-2024-2389）

某捷通T KeyInfoList.aspx sql注入-附py

发表评论

在线咨询

微信