- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 新华三人才研学中心
- 关于我们
威胁预警团队
2021/07/02
Print Spooler是打印后台处理服务，管理所有本地和网络打印队列及控制所有打印工作。近日，新华三攻防实验室威胁预警团队监测到微软官方提前披露了一个新的Windows Print Spooler远程代码执行漏洞（CVE-2021-34527），该漏洞目前为0Day漏洞且存在在野利用，微软暂未发布修复补丁。
漏洞根源在于Windows Print Spooler服务不正确地执行特权文件操作时，存在远程执行代码漏洞，攻击者可以通过一个低权限用户对目标计算机进行攻击，成功利用此漏洞的攻击者可以使用 SYSTEM 权限运行任意代码。然后攻击者可以安装程序；查看、更改或删除数据；或创建具有完全用户权限的新帐户。若攻击者获取到域用户权限，可连接到域控中的Spooler服务，并在域控制器中安装恶意驱动程序，从而完全控制整个域环境。
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows RT 8.1
Windows 8.1 for x64-based systems
Windows 8.1 for 32-bit systems
Windows 7 for x64-based Systems Service Pack 1
Windows 7 for 32-bit Systems Service Pack 1
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 10 for 32-bit Systems
Windows Server, version 20H2 (Server Core Installation)
Windows 10 Version 20H2 for ARM64-based Systems
Windows 10 Version 20H2 for 32-bit Systems
Windows 10 Version 20H2 for x64-based Systems
Windows Server, version 2004 (Server Core installation)
Windows 10 Version 2004 for x64-based Systems
Windows 10 Version 2004 for ARM64-based Systems
Windows 10 Version 2004 for 32-bit Systems
Windows 10 Version 21H1 for 32-bit Systems
Windows 10 Version 21H1 for ARM64-based Systems
Windows 10 Version 21H1 for x64-based Systems
Windows Server, version 1909 (Server Core installation)
Windows 10 Version 1909 for ARM64-based Systems
Windows 10 Version 1909 for x64-based Systems
Windows 10 Version 1909 for 32-bit Systems
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
微软公司给出了针对该漏洞的缓解办法，目前正式补丁尚未发布。
缓解漏洞风险可参考以下步骤：
确定 Print Spooler 服务是否正在运行（以域管理员身份运行）
以域管理员身份运行以下命令：
Get-Service -Name Spooler
如果 Print Spooler 正在运行或该服务未设置为禁用，请选择以下选项之一以禁用 Print Spooler 服务，或通过组策略禁用入站远程打印：
选项 1 - 禁用 Print Spooler 服务
如果禁用 Print Spooler 服务适合您的企业，请使用以下 PowerShell 命令：
Stop-Service -Name Spooler -Force
Set-Service -Name Spooler -StartupType Disabled
注：禁用 Print Spooler 服务会禁用本地和远程打印功能。
选项 2 - 通过组策略禁用入站远程打印
运行组策略编辑器（Win+R，输入gpedit.msc，打开组策略编辑器），依次浏览到：计算机配置/管理模板/打印机：
禁用“允许打印后台处理程序接受客户端连接：”策略以阻止远程攻击。
变通办法的影响：
此策略将通过阻止入站远程打印操作来阻止远程攻击。该系统将不再用作打印服务器，但仍然可以本地打印到直接连接的设备。
1、 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527
产品与解决方案
售前咨询
售后咨询
人工在线咨询
