微软确认所有Windows系统都存在PrintNightmare漏洞

[[409324]]

微软已将CVE-2021-34527分配给名为PrintNightmare的打印后台程序远程代码执行漏洞，并确认该漏洞潜伏在所有版本的Windows中。

megacorp表示仍在调查该漏洞是否在每个Windows版本中都可以利用，但域控制器确实受到了影响。

微软还证实，这个令人讨厌的问题与之前的CVE-2021-1675不同，后者是关于不同的攻击向量和RpcAddPrinterDriverEx()。据微软称，2021年6月的安全更新解决了这个问题，并没有引入新的问题。而Printnightmare是在更新之前就已经存在了。

微软还证实PrintNightmare漏洞正在被广泛利用。

微软表示：PrintNightmare这个名字起得很好，因为该漏洞允许攻击者以系统权限运行任意代码，成功利用该漏洞的不法分子(通过Windows打印机后台处理程序服务中的一个缺陷)可以安装程序、处理数据或创建具有完全用户权限的新账户。

早前，某网络安全公司的信息安全研究小组发布了该漏洞的概念验证代码，错误地认为它已经作为CVE-2021-1675的一部分进行了修补，结果意外披露了零日漏洞。尽管该公司匆忙从Github撤下概念验证代码，但全球性的恐慌还是接踵而至。

目前安全专家建议的缓解措施包括关闭域控制器上的Windows Print Spooler服务，将域控制器与打印任务分离，或从Windows 2000之前的旧组中抽取用户。

Microsoft自己提供的解决方法首先是禁用Print Spooler服务，最后是通过组策略禁用入站远程打印。前者是停止所有打印，而后者是即使打印服务器任务中断，也至少可以提供本地打印服务。

虽然微软正手忙脚乱地处理这个棘手的问题，但Printnightmare的潜在威胁和恐慌仍在蔓延。微软尚未对该漏洞进行CVSS评分或严重程度分级，只是宣称：“我们仍在调查中。”

尽管如此，可以将域控制器上的系统权限授予攻击者的漏洞确实是每一个安全人员的噩梦。

【本文是IDC.NET专栏作者“安全牛”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】

戳这里，看该作者更多好文