{"id":2737,"date":"2021-07-05T12:10:19","date_gmt":"2021-07-05T10:10:19","guid":{"rendered":"https:\/\/fortgale.com\/news\/?p=2737"},"modified":"2021-07-05T12:10:19","modified_gmt":"2021-07-05T10:10:19","slug":"vulnerabilita-critica-printnightmare","status":"publish","type":"post","link":"https:\/\/fortgale.com\/blog\/cyber-security-news\/vulnerabilita-critica-printnightmare\/","title":{"rendered":"Vulnerabilit\u00e0 Critica: PrintNightmare"},"content":{"rendered":"\n

Alla fine di giugno \u00e8 stata scoperta una nuova vulnerabilit\u00e0 relativa al Print Spooler di Windows (CVE-2021-1675<\/strong>) che permetteva l’esecuzione arbitraria di codice con privilegi amministrativi (Local Privilege Escalation<\/strong>). Il giorno 1 Luglio 2021, a seguito di alcune pubblicazioni da parte di due team di ricercatori, Microsoft ha rilasciato un avviso sulla vulnerabilit\u00e0 CVE-2021-34527<\/strong>, attraverso la quale \u00e8 possibile non solo eseguire codice con privilegi amministrativi, ma anche eseguire codice da remoto (Remote Code Execution<\/strong>).<\/p>\n

La nuova vulnerabilit\u00e0 \u00e8 stata chiamata PrintNightmare<\/strong> e affligge tutti i sistemi Windows (Server e PC) aventi il servizio Print Spooler attivo<\/strong>.<\/p>\n\n\n\n

Dettagli sulla Minaccia<\/h2>\n\n\n\n

Per poter sfruttare la vulnerabilit\u00e0 \u00e8 necessario essere in possesso di credenziali valide di un account o essere gi\u00e0 autenticati.<\/p>\n

La vulnerabilit\u00e0 coinvolge l’utilizzo della funzione RpcAddPrinterDriverEx<\/strong><\/code> da parte de servizio di Windows Print Spooler<\/strong>, il quale non riesce a limitare l’accesso alle sole utenze amministrative.<\/p>\n

La funzione RpcAddPrinterDriverEx<\/strong><\/code> viene usata per installare un driver di stampa in un sistema. Uno dei parametri della funzione \u00e8 l’oggetto DRIVER_CONTAINER<\/strong><\/code>, che contiene informazioni su quale driver deve essere usato dalla stampante aggiunta. L’altro argomento \u00e8 dwFileCopyFlags<\/strong><\/code> e specifica come dovranno essere copiati i nuovi file sostitutivi del driver di stampa. Un attaccante pu\u00f2 sfruttare la possibilit\u00e0 che ha ogni utente autenticato di chiamare la funzione RpcAddPrinterDriverEx<\/strong><\/code> e specificare un file che risiede in un server remoto. In questo modo il servizio del Print Spooler, spoolsv.exe<\/strong>, eseguir\u00e0 il codice presente in un file DLL arbitrario con privilegi SYSTEM<\/strong>.<\/p>\n\n\n\n

Mitigazione<\/h2>\n\n\n\n

Microsoft ha gi\u00e0 rilasciato delle linee guida per mitigare gli effetti di questa nuova vulnerabilit\u00e0 al link.<\/a><\/p>\n

In ogni caso, \u00e8 altamente consigliato disabilitare il servizio Print Spooler<\/strong>, in attesa di una patch da parte di Microsoft.<\/p>\n\n\n\n

Disabilitazione del servizio<\/h2>\n\n\n\n

Determine if the Print Spooler service is running<\/strong><\/p>

Run the following:<\/p>

Get-Service -Name Spooler<\/code><\/p>

If the Print Spooler is running or if the service is not set to disabled, select one of the following options to either disable the Print Spooler service, or to Disable inbound remote printing through Group Policy:<\/p>

Option 1 – Disable the Print Spooler service<\/strong><\/p>

If disabling the Print Spooler service is appropriate for your enterprise, use the following PowerShell commands:<\/p>

Stop-Service -Name Spooler -Force<\/code><\/p>

Set-Service -Name Spooler -StartupType Disabled<\/code><\/p>

Impact of workaround<\/strong> Disabling the Print Spooler service disables the ability to print both locally and remotely.<\/p>

Option 2 – Disable inbound remote printing through Group Policy<\/strong><\/p>

You can also configure the settings via Group Policy as follows:<\/p>

Computer Configuration \/ Administrative Templates \/ Printers<\/p>

Disable the \u201cAllow Print Spooler to accept client connections:\u201d policy to block remote attacks.<\/p>

You must restart the Print Spooler service for the group policy to take effect.<\/p>

Impact of workaround<\/strong> This policy will block the remote attack vector by preventing inbound remote printing operations. The system will no longer function as a print server, but local printing to a directly attached device will still be possible.<\/p><\/blockquote>\n","protected":false},"excerpt":{"rendered":"

Dettagli sulla Minaccia Mitigazione Disabilitazione del servizio Determine if the Print Spooler service is running Run the following: Get-Service -Name Spooler If the Print Spooler is running or if the service is not set to disabled, select one of the following options to either disable the Print Spooler service, or to Disable inbound remote printing […]<\/p>\n","protected":false},"author":1,"featured_media":2779,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[89,227,273],"class_list":["post-2737","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cyber-security-news","tag-cve","tag-microsoft","tag-printspooler"],"_links":{"self":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/posts\/2737","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/comments?post=2737"}],"version-history":[{"count":0,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/posts\/2737\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/"}],"wp:attachment":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/media?parent=2737"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/categories?post=2737"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/tags?post=2737"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}