2021年7月1日，微軟提前發(fā)布Windows Print Spooler 遠(yuǎn)程代碼執(zhí)行漏洞（CVE-2021-34527）。此漏洞與分配為 CVE-2021-1675 的漏洞相似但不同，后者解決了 RpcAddPrinterDriverEx() 中的不同漏洞。攻擊向量也不同。CVE-2021-1675 已由 2021 年 6 月的安全更新解決。

漏洞概述：

Microsoft 已發(fā)現(xiàn)并調(diào)查影響 Windows Print Spooler 的遠(yuǎn)程代碼執(zhí)行漏洞，并已將 CVE-2021-34527 分配給此漏洞。

當(dāng) Windows Print Spooler 服務(wù)不正確地執(zhí)行特權(quán)文件操作時，存在遠(yuǎn)程執(zhí)行代碼漏洞風(fēng)險(xiǎn)。成功利用此漏洞的攻擊者可以使用 SYSTEM 權(quán)限運(yùn)行任意代碼。然后攻擊者可以安裝程序；查看、更改或刪除數(shù)據(jù)；或創(chuàng)建具有完全用戶權(quán)限的新帳戶。

攻擊必須涉及調(diào)用 RpcAddPrinterDriverEx() 的經(jīng)過身份驗(yàn)證的用戶。

漏洞等級：嚴(yán)重

漏洞編號：CVE-2021-34527

受影響的版本：

包含該漏洞的代碼存在于所有版本的 Windows 中，微軟仍在調(diào)查是否所有版本都可以利用。

漏洞利用情況：

目前微軟公告顯示，該漏洞已公開披露，疑似已檢測到在野利用，暫時漏洞POC（概念驗(yàn)證代碼尚未公開）

漏洞解決辦法：

微軟公司給出了針對該漏洞的緩解辦法，目前正式補(bǔ)丁尚未發(fā)布。

確定 Print Spooler 服務(wù)是否正在運(yùn)行（以域管理員身份運(yùn)行）

以域管理員身份運(yùn)行以下命令：

Get-Service -Name Spooler

如果 Print Spooler 正在運(yùn)行或該服務(wù)未設(shè)置為禁用，請選擇以下選項(xiàng)之一以禁用 Print Spooler 服務(wù)，或通過組策略禁用入站遠(yuǎn)程打�。�

選項(xiàng) 1 - 禁用 Print Spooler 服務(wù)

如果禁用 Print Spooler 服務(wù)適合您的企業(yè)，請使用以下 PowerShell 命令：

Stop-Service -Name Spooler -Force

Set-Service -Name Spooler -StartupType Disabled

禁用 Print Spooler 服務(wù)會禁用本地和遠(yuǎn)程打印功能。

選項(xiàng) 2 - 通過組策略禁用入站遠(yuǎn)程打印

運(yùn)行組策略編輯器(Win+R，輸入gpedit.msc，打開組策略編輯器），依次瀏覽到：計(jì)算機(jī)配置/管理模板/打印機(jī)

禁用“允許打印后臺處理程序接受客戶端連接：”策略以阻止遠(yuǎn)程攻擊。

變通辦法的影響：

此策略將通過阻止入站遠(yuǎn)程打印操作來阻止遠(yuǎn)程攻擊。該系統(tǒng)將不再用作打印服務(wù)器，但仍然可以本地打印到直接連接的設(shè)備。

參考鏈接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527

來源：https://weibo.com/ttarticle/p/show?id=2309404654499158687814騰訊安全微博

本文鏈接：http://m.51huadong.com/cloundnews/11006156.html