Sofortmaßnahmen gegen PrintNightmare (CVE-2021-34527)

Die neue Sicherheitslücke CVE-2021-34527 eröffnet die gleichen Möglichkeiten für böswillige User und firmiert ebenfalls unter "PrintNightmare". Der von Microsoft gegen CVE-2021-1675 veröffentlichte Patch bietet hier aber keinen Schutz.

Update: Microsoft hat mittler­weile mit KB5004954 einen Fix für diese Sicherheits­lücke veröffent­licht. Die in diesem Beitrag beschriebenen Maßnahmen zur Deaktivierung des Spoolers auf Rechnern, die ihn nicht benötigen, sollte man dennoch in Erwägung ziehen. Damit reduziert man die Angriffs­fläche und baut möglichen künftigen Schwach­stellen in dieser Komponente vor.

Code für Exploits bereits im Umlauf

Verschärfend kommt hinzu, dass bereits Proof of Concepts zur Ausnutzung dieser Schwachstelle in verschiedenen Programmier­sprachen kursieren. Darunter findet sich auch ein PowerShell-Script von John Hammond, das er auf GitHub veröffentlicht hat.

Entsprechend dringlich ist es für Admins, bis zur Verfügbarkeit einer Lösung die Systeme gegen Exploits von CVE-2021-34527 zu schützen. Die einfachste von Microsoft empfohlene Maßnahme besteht erwartungs­gemäß darin, den Spooler-Service auf allen Rechner abzuschalten, auf denen er nicht benötigt wird, weil dort kein Drucker angeschlossen ist.

Spooler deaktivieren

Standardmäßig läuft der Spooler-Dienst sowohl unter Windows 10 als auch auf Windows Server. Besonderes Augenmerk sollte Domain Controllern gelten, weil auch dort oft der Spooler-Service aktiv ist. Davon kann man sich leicht durch den PowerShell-Befehl

Get-Service -Name spooler

überzeugen.

Per Script hält man den Service folgendermaßen an und ändert seinen Starttyp auf Disabled:

Stop-Service -Name Spooler -Force
Set-Service -Name Spooler -StartupType Disabled

In größeren Umgebungen wird man den Spooler bevorzugt über die Gruppen­richtlinien deaktivieren. Diesem Zweck dient die Einstellung Annahme von Clientverbindungen zum Druckerspooler zulassen unter Computerkonfiguration => Richtlinien => Administrative Vorlagen => Drucker. Sie muss deaktiviert werden.

Lokal angeschlossene Drucker lassen sich auf diesen PCs weiterhin nutzen, sie sind nur nicht in der Lage, als Print-Server zu fungieren. Um freigegebene Drucker dort nicht über das GPO zu blockieren, könnte man für das GPO einen WMI-Filter nach diesem Muster verwenden:

select * FROM win32_Printer where ShareName <> ""

Absicherung der Print-Server

Der Spooler-Dienst würde auf diesen Rechnern dann nicht deaktiviert und sie bleiben somit über CVE-2021-34527 angreifbar. Dies gilt indes für Print-Server generell.

Für sie empfiehlt Microsoft, eine Reihe von eingebauten Sicherheits­gruppen so weit wie möglich zu leeren. Besonders problematisch scheint zu sein, wenn Authenticated Users in Pre-Windows 2000 Compatible Access enthalten ist.

Eine weitere Maßnahme betrifft Point and Print. Diese Technik hat zwar nicht unmittelbar mit der Schwach­stelle zu tun, kann aber Angreifern den Zugang erleichtern. Daher sollten Admins dafür sorgen, dass bei der Installation und dem Update von Printern entsprechende Hinweise und ein UAC-Prompt angezeigt wird.

Dies lässt sich wieder über Gruppenrichtlinien erreichen. Die zuständige Einstellung heißt Point-and-Print-Einschränkungen. Sie findet sich ebenfalls unter Computer­konfiguration => Richtlinien => Administrative Vorlagen => Drucker.