Windows缓冲打印处理程序再添RCE漏洞

福无双至,祸不单行。继上周被发现一个被低估的远程程序代码执行(Remote Code Execution,RCE)漏洞后,微软周四再公布Windows缓冲打印处理器程序Windows Print Spooler另一个RCE漏洞。但微软尚不知漏洞风险,以及是否所有版本Windows都有风险。

编号CVE-2021-34527的漏洞,和本周引发关注的CVE-2021-1675同样是Print Spooler中的RCE漏洞。微软解释,它是Print Spooler服务被不当执行文件所致。要开采这项漏洞,攻击者必须是经验证的用户并执行RpcAddPrinterDriverEx。

成功开采者可以系统(SYSTEM)权限执行任意程序代码,即可安装文件、删改读取资料,或添加完整用户权限的账号。但根据微软的公告,CVE-2021-34527已经被公开,而且已经有开采活动。

微软还在研究这项漏洞,但因已有攻击行动,微软呼吁用户应立即安装本月初Patch Tuesday发布的安全更新。如果无法安装,应关闭Print Spooler服务,或是通过群组政策关闭接收远程打印的指令。

在FAQ中,微软将CVE-2021-34527漏洞称之为PrintNightmare。但是微软又说,它和稍早被研究人员命名为PrintNightmare的CVE-2021-1675,是相似、但不同的两个漏洞。两者的攻击渠道也不同。微软指出,CVE-2021-1675已经在6月初的Patch Tuesday修补掉了。

这只新漏洞,可能导致研究人员认为CVE-2021-1675修补不全。上周研究人员Cube0x0公布的PoC,可以成功开采安装CVE-2021-1675修补程序的系统。这PoC虽然已经移除,但已经被其他人分叉出新的PoC,因而可开采CVE-2021-34527。

至于是否Patch Tuesday造成CVE-2021-34527,微软表示,这在上个月Patch Tuesday之前就已存在。

CERT研究人员解释,RpcAddPrinterDriverEx函数是在添加打印机时,在某台远程服务器上安装打印驱动程序,它其中一项对象可指定添加打印机要用哪个驱动程序。攻击者就是利用这点,调用这个函数,指定在远程服务器上安装驱动程序档,再变更dwFileCopyFlags参数,导致权限升级,最后取得系统权限并以Print Spooler执行DLL档。CERT指出,这项漏洞影响Active Domain域名控制器,以及以NoWarningNoElevationOnInstall设置“Point和打印”原则的系统。

目前仅知作为Active Directory域名控制器的Windows系统受影响,以及所有版本Windows都包含有漏洞的程序代码。至于其他受影响的角色、或是CVE-2021-34527的风险层级,以及是否所有Windows版本都会被开采,微软表示都还在分析中。

相关资料

微软Windows Print Spooler RCE漏洞修补信息(CVE-2021-34527,2021/07/01发布)

发表评论