Windows 打印服务风险通告（CVE-2021-34527）| 可攻击域控制器请尽快防御

6月30日，一个存在于Windows打印服务（ Windows Print Spooler）的高危漏洞（CVE-2021-1675）PoC被公开，我们随后进行了风险通告，该漏洞可以通过微软的6月例行更新解决。

7月1日，有安全研究人员发现可以绕过微软针对CVE-2021-1675漏洞的修复，并公开发布EXP。随后，该EXP被攻击工具“mimikatz”的作者集成到工具中——这意味着该漏洞将更容易被利用。微软针对该情况发布新的漏洞通告，CVE号为CVE-2021-34527，目前暂无相关补丁，用户可暂时关闭域中的 Print Spooler服务以避免攻击，详细操作见后文。

一、漏洞详情

Windows Print Spooler 蠕虫级远程代码执行0day漏洞  CVE-2021-34527

利用该漏洞，攻击者可以使用一个低权限用户（包括匿名共享guest账户），对本地网络中的电脑发起攻击，控制存在漏洞的电脑。尤其在企业内部，在域环境中，普通域用户，可以通过该服务，攻击域控制器，从而控制整个网络。

二、影响范围

• Windows Server 2012 R2 (Server Core installation)
• Windows Server 2012 R2
• Windows Server 2012 (Server Core installation)
• Windows Server 2012
• Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
• Windows Server 2008 R2 for x64-based Systems Service Pack 1
• Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
• Windows Server 2008 for x64-based Systems Service Pack 2
• Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
• Windows Server 2008 for 32-bit Systems Service Pack 2
• Windows RT 8.1
• Windows 8.1 for x64-based systems
• Windows 8.1 for 32-bit systems
• Windows 7 for x64-based Systems Service Pack 1
• Windows 7 for 32-bit Systems Service Pack 1
• Windows Server 2016  (Server Core installation)
• Windows Server 2016
• Windows 10 Version 1607 for x64-based Systems
• Windows 10 Version 1607 for 32-bit Systems
• Windows 10 for x64-based Systems
• Windows 10 for 32-bit Systems
• Windows Server, version 20H2 (Server Core Installation)
• Windows 10 Version 20H2 for ARM64-based Systems
• Windows 10 Version 20H2 for 32-bit Systems
• Windows 10 Version 20H2 for x64-based Systems
• Windows Server, version 2004 (Server Core installation)
• Windows 10 Version 2004 for x64-based Systems
• Windows 10 Version 2004 for ARM64-based Systems
• Windows 10 Version 2004 for 32-bit Systems
• Windows 10 Version 21H1 for 32-bit Systems
• Windows 10 Version 21H1 for ARM64-based Systems
• Windows 10 Version 21H1 for x64-based Systems
• Windows Server, version 1909 (Server Core installation)
• Windows 10 Version 1909 for ARM64-based Systems
• Windows 10 Version 1909 for x64-based Systems
• Windows 10 Version 1909 for 32-bit Systems
• Windows Server 2019  (Server Core installation)
• Windows Server 2019
• Windows 10 Version 1809 for ARM64-based Systems
• Windows 10 Version 1809 for x64-based Systems
• Windows 10 Version 1809 for 32-bit Systems

三、临时缓解措施

微软给出了针对该漏洞的缓解办法，目前正式补丁尚未发布。

确定 Print Spooler 服务是否正在运行（以域管理员身份运行）

以域管理员身份运行以下命令：

►Get-Service -Name Spooler

如果 Print Spooler 正在运行或该服务未设置为禁用，请选择以下选项之一以禁用 Print Spooler 服务，或通过组策略禁用入站远程打印： 

选项 1 - 禁用 Print Spooler 服务

如果禁用 Print Spooler 服务适合您的企业，请使用以下 PowerShell 命令：

►Stop-Service -Name Spooler -Force

►Set-Service -Name Spooler -StartupType Disabled

影响：禁用 Print Spooler 服务会禁用本地和远程打印功能。

选项 2 - 通过组策略禁用入站远程打印

您还可以通过组策略配置设置，如下所示：

►计算机配置/管理模板/打印机

►禁用“允许打印后台处理程序接受客户端连接：”策略以阻止远程攻击。

影响：此策略将通过阻止入站远程打印操作来阻止远程攻击媒介。该系统将不再用作打印服务器，但仍然可以本地打印到直接连接的设备。

参考链接

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-34527