Microsoft raadt aan om Print Spooler uit te schakelen nadat PrintNightmare lek misbruikt

Microsoft heeft tijdelijke oplossingen gepubliceerd om het risico van misbruik van een recent ontdekte kwetsbaarheid met betrekking tot de Windows Print Spooler Service aan te pakken. Door de kwetsbaarheid kon onder bepaalde omstandigheden code met systeemrechten worden uitgevoerd.

Microsoft heeft nog geen update uitgebracht om het lek te dichten, maar geeft in een beveiligingswaarschuwing twee opties mee om misbruik te voorkomen. De eerste optie is om de Print Spooler-functie volledig uit te schakelen, de tweede is om Groepsbeleid te gebruiken om te voorkomen dat de Print Spooler inkomende clientverbindingen accepteert. In beide gevallen is printen op afstand niet meer mogelijk, lokale aansluiting van een printer werkt nog wel.

Microsoft meldt ook dat het beveiligingslek actief wordt misbruikt en dat het alle versies van Windows treft. Het bedrijf onderzoekt nog steeds de ernst van het beveiligingslek, maar heeft al gemeld dat een aanvaller die het beveiligingslek weet te misbruiken, Windows-domeincontrollers kan overnemen en code kan uitvoeren op kwetsbare systemen met systeemrechten.

Voorafgaand aan de waarschuwing van Microsoft, adviseerde de Amerikaanse Cybersecurity and Infrastructure Security Agency om de Print Spooler-service uit te schakelen in domeincontrollers en systemen die niet worden gebruikt voor afdrukken. De kwetsbaarheid is aangeduid als CVE-2021-34527 en houdt verband met kwetsbaarheid CVE-2021-1675. Beide hebben betrekking op RpcAddPrinterDriverEx, maar omvatten verschillende kwetsbaarheden en aanvalsmethoden. CVE-2021-1675 is opgelost in een beveiligingsupdate van juni.

Vorige week kwamen er meldingen van een kwetsbaarheid met betrekking tot de Print Spooler naar voren nadat het Chinese beveiligingsbedrijf QiAnXin een proof-of-concept en technische details plaatste over het misbruiken van de eerdere kwetsbaarheid CVE-2021-1675. Ze noemden hun exploit PrintNightmare en het bleek dat het ook werkte op volledig gepatchte systemen. Dit is een zero-day kwetsbaarheid die gerelateerd is aan de vorige kwetsbaarheid, maar moet worden beschouwd als een nieuwe kwetsbaarheid. De patch die Microsoft in juni publiceerde, bleek onvoldoende om de aanvalsmethode PrintNightmare tegen te gaan.