绿盟

绿盟科技

  • 基础设施安全

    基础设施安全
  • 数据安全

    数据安全
  • 云计算安全

    云计算安全
  • 工控安全

    工控安全
  • 物联网安全

    物联网安全
  • 信息技术应用创新

    信息技术应用创新
  • 全部产品

    全部产品
  • 全部解决方案

    全部解决方案

基础设施安全


  • 政府

    政府
  • 运营商

    运营商
  • 金融

    金融
  • 能源

    能源
  • 交通

    交通
  • 企业

    企业
  • 科教文卫

    科教文卫

返回列表

【安全通告】Windows Print Spooler远程代码执行漏洞(CVE-2021-1675/CVE-2021-34527)处置手册

2021-07-08

一.  漏洞概述

北京时间7月7日,微软针对CVE-2021-34527(PrintNightmare)发布了安全更新,绿盟科技CERT建议广大用户尽快安装补丁进行防护。

6月29日,绿盟科技CERT监测到有安全研究员在GitHub上发布了Windows Print Spooler 远程代码执行漏洞(PrintNightmare)的EXP,Print Spooler是Windows系统中管理打印相关事务的服务,用于管理所有本地和网络打印队列并控制所有打印工作。Windows系统默认开启Print Spooler服务,普通用户可以利用此漏洞提升至SYSTEM管理权限。在域环境下,域用户可远程利用该漏洞以SYSTEM权限在域控制器上执行任意代码,从而获得整个域的控制权。绿盟科技研究团队确认,此EXP在安装了微软官方6月安全补丁更新中发布的CVE-2021-1675修复程序的情况下仍可进行利用

北京时间7月2日,微软官方针对公开的EXP发布了CVE-2021-34527的漏洞通告,并提供了临时解决方案。

此前mimikatz 已将此EXP武器化:

 

 

参考链接:

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-1675

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527

二.  事件时间线

2021-06-09 微软发布月度安全更新:通告定义CVE-2021-1675为本地提权漏洞

2021-06-09 绿盟科技CERT发布通告:指出该漏洞可实现域环境RCE

详见:https://mp.weixin.qq.com/s/0FzhRsbc17KHXL7z4CKinQ

2021-06-21 微软更新通告:将CVE-2021-1675改为远程代码执行漏洞

2021-06-29 漏洞POC公开

2021-06-29 在Windows Server 2019系统补丁环境复现视频公开

2021-07-01 mimikatz实现武器化集成

2021-07-02 微软紧急发布CVE-2021-34527通告(未发布补丁)

2021-07-02 绿盟科技CERT更新通告

2021-07-07 微软发布CVE-2021-34527漏洞补丁

2021-07-07 绿盟科技CERT发布处置手册

三.  影响范围

受影响版本

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2

Windows Server 2012 (Server Core installation)

Windows Server 2012

Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)

Windows Server 2008 R2 for x64-based Systems Service Pack 1

Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for x64-based Systems Service Pack 2

Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)

Windows Server 2008 for 32-bit Systems Service Pack 2

Windows RT 8.1

Windows 8.1 for x64-based systems

Windows 8.1 for 32-bit systems

Windows 7 for x64-based Systems Service Pack 1

Windows 7 for 32-bit Systems Service Pack 1

Windows Server 2016  (Server Core installation)

Windows Server 2016

Windows 10 Version 1607 for x64-based Systems

Windows 10 Version 1607 for 32-bit Systems

Windows 10 for x64-based Systems

Windows 10 for 32-bit Systems

Windows Server, version 20H2 (Server Core Installation)

Windows 10 Version 20H2 for ARM64-based Systems

Windows 10 Version 20H2 for 32-bit Systems

Windows 10 Version 20H2 for x64-based Systems

Windows Server, version 2004 (Server Core installation)

Windows 10 Version 2004 for x64-based Systems

Windows 10 Version 2004 for ARM64-based Systems

Windows 10 Version 2004 for 32-bit Systems

Windows 10 Version 21H1 for 32-bit Systems

Windows 10 Version 21H1 for ARM64-based Systems

Windows 10 Version 21H1 for x64-based Systems

Windows Server, version 1909 (Server Core installation)

Windows 10 Version 1909 for ARM64-based Systems

Windows 10 Version 1909 for x64-based Systems

Windows 10 Version 1909 for 32-bit Systems

Windows Server 2019  (Server Core installation)

Windows Server 2019

Windows 10 Version 1809 for ARM64-based Systems

Windows 10 Version 1809 for x64-based Systems

Windows 10 Version 1809 for 32-bit Systems

 

四.  漏洞检测

4.1  产品检测

绿盟科技远程安全评估系统(RSAS)、网络入侵检测系统(IDS)与综合威胁探针(UTS)已具备对此漏洞的扫描与检测能力,请有部署以上设备的用户升级至最新版本。

安全产品版本

升级包版本号

升级包下载链接

RSAS  V6 系统插件包

V6.0R02F01.2400

http://update.nsfocus.com/update/listRsasDetail/v/vulsys

IDS

5.6.9.25788

http://update.nsfocus.com/update/listNewidsDetail/v/rule5.6.9

5.6.10.25788

http://update.nsfocus.com/update/listNewidsDetail/v/rule5.6.10

5.6.11.25788

http://update.nsfocus.com/update/listNewidsDetail/v/rule5.6.11

UTS

5.6.10.25788

http://update.nsfocus.com/update/listBsaUtsDetail/v/rule2.0.0

关于RSAS的升级配置指导,请参考如下链接:

https://mp.weixin.qq.com/s/aLAWXs5DgRhNHf4WHHhQyg

 

五.  漏洞防护

5.1  补丁更新

目前微软官方已针对支持的系统版本发布了修复以上漏洞的安全补丁,强烈建议受影响用户尽快安装补丁进行防护,下载链接:

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-1675

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-34527

目前尚有少部分Windows 版本暂未发布CVE-2021-34527的安全补丁,微软称很快将会发布更新,请相关用户持续进行关注。

本次补丁安装需要一定前置更新,详情请参考:https://support.microsoft.com/zh-cn/topic/july-6-2021-kb5004945-os-builds-19041-1083-19042-1083-and-19043-1083-out-of-band-44b34928-0a71-4473-aa22-ecf3b83eed0e

:由于网络问题、计算机环境问题等原因,Windows Update的补丁更新可能出现失败。用户在安装补丁后,应及时检查补丁是否成功更新。

右键点击Windows图标,选择“设置(N)”,选择“更新和安全”-“Windows更新”,查看该页面上的提示信息,也可点击“查看更新历史记录”查看历史更新情况。

针对未成功安装的更新,可点击更新名称跳转到微软官方下载页面,建议用户点击该页面上的链接,转到“Microsoft更新目录”网站下载独立程序包并安装。

 

5.2  临时防护措施

一、用户可通过停止并禁用Print Spooler服务对以上漏洞进行缓解:

进入任务管理器,选择“服务”->”打开服务”->”选择Print Spooler”->”右键属性”,

 

启动类型”选择”禁用”,并点击”停止”,关闭服务,点击”应用”和”确定”,使配置生效。

 

注:停用此服务将导致打印功能失效。

 

二、通过组策略禁用入站远程打印:

运行组策略编辑器(Win+R,输入gpedit.msc,打开组策略编辑器),依次浏览到:计算机配置/管理模板/打印机:禁用“允许打印后台处理程序接受客户端连接:”策略以阻止远程攻击。

注:此策略将通过阻止入站远程打印操作来阻止远程攻击。该系统将不再用作打印服务器,但仍然可以本地打印到直接连接的设备。

5.3  产品防护

针对上述漏洞,绿盟科技网络入侵防护系统(IPS) 已发布规则升级包,请相关用户升级至最新版本规则,以形成安全产品防护能力。安全防护产品规则版本号如下:

安全防护产品

规则版本号

升级包下载链接

IPS

5.6.9.25788

http://update.nsfocus.com/update/listNewipsDetail/v/rule5.6.9

5.6.10.25788

http://update.nsfocus.com/update/listNewipsDetail/v/rule5.6.10

5.6.11.25788

http://update.nsfocus.com/update/listNewipsDetail/v/rule5.6.11

产品规则升级的操作步骤详见如下链接:

IPS:https://mp.weixin.qq.com/s/JsRktENQNj1TdZSU62N0Ww

 

声明

本安全公告仅用来描述可能存在的安全问题,绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,绿盟科技以及安全公告作者不为此承担任何责任。

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告,必须保证此安全公告的完整性,包括版权声明等全部内容。未经绿盟科技允许,不得任意修改或者增减此安全公告内容,不得以任何方式将其用于商业目的。

<<上一篇

【威胁通告】绿盟科技威胁情报月报(2021年6月)

>>下一篇

【安全通告】“私人订制”勒索软件,带你揭秘Paradise源代码

您的联系方式

*姓名
*单位名称
*联系方式
*验证码
提交到邮箱

购买热线

  • 购买咨询:

    400-818-6868-1

  • 投诉专线:

    010-59610080

提交项目需求

欢迎加入绿盟科技,成为我们的合作伙伴!
  • *请描述您的需求
  • *最终客户名称
  • *项目名称
  • 您感兴趣的产品
  • 项目预算
您的联系方式
  • *姓名
  • *联系电话
  • *邮箱
  • *职务
  • *公司
  • *城市
  • *行业
  • *验证码
  • 提交到邮箱
微博
微博

微博

微信
微信

微信

B站
B站

B站

抖音
抖音

抖音

视频号
视频号

视频号

服务热线

400-818-6868

服务时间

7*24小时

© 2021 NSFOCUS 绿盟科技 www.nsfocus.com All Rights Reserved . 京公网安备 11010802021605号 京ICP备14004349号 京ICP证110355号