CVE-2021-34481: Erneute Sicherheitslücke im Windows-Print-Spooler, Patch noch ausstehend

Dagegen beschränkt sich die nun entdeckte Schwachstelle CVE-2021-34481 auf die mögliche Erhöhung der Benutzer­privilegien, eine Remote-Code-Ausführung lässt sie nicht zu. Dennoch wird ihr Risiko mit 7.8 als sehr hoch eingeschätzt.

Bei CVE-2021-1675 gab es bereits vor dem Erscheinen des Patches funktions­fähigen Code zur Ausnutzung der Sicherheits­lücke. Das Gleiche gilt nun auch für CVE-2021-34481.

Sofortmaßnahmen

Bereits anlässlich von "PrintNightmare" empfahl Microsoft als Sofort­maß­nahme, den Print-Spooler auf allen Rechnern zu deaktivieren, wenn er dort nicht benötigt wird. Nachdem aktuell noch kein Patch für die neueste Schwach­stelle verfügbar ist, rät Microsoft erneut zu diesem Schritt.

Den Spooler kann man auch auf PCs mit einem lokal angeschlossenen Drucker deaktivieren, weil dann Aufträge direkt und ohne Zwischen­speichern ausgedruckt werden. Die entsprechende Option heißt Druckaufträge direkt zum Drucker leiten und findet sich in den Drucker­eigenschaften unter dem Reiter Erweitert. Sie kann bei einigen Druckertreibern aber ausgegraut sein.

Nicht benötigten Spooler generell abschalten

Diese Maßnahme empfiehlt sich generell und unabhängig von der aktuellen Schwachstelle, weil sie die Angriffsfläche der Systeme reduziert. Nachdem innerhalb kurzer Zeit bereits drei kritische Schwach­stellen im Spooler aufgetreten sind, sollte man möglichen weiteren Sicherheits­lücken auf diese Weise vorbauen.

In zentral verwalteten Umgebungen bietet sich der Einsatz von Gruppen­richtlinien an, um den Print-Spooler abzuschalten. Wie man dabei vorgeht, findet sich in diesem Beitrag.