CVE-2021-1675
Microsoft Windows Print Spooler Remote Code Execution Vulnerability
Beschreibung
CVE-2021-1675 ist eine hochgradige Remote-Code-Execution-Schwachstelle im Microsoft Windows Print-Spooler-Dienst, weithin bekannt als PrintNightmare. Die Schwachstelle ermöglicht es einem Angreifer, beliebigen Code mit SYSTEM-Berechtigungen auszuführen, indem eine Schwäche in der Verarbeitung von Druckertreiberinstallationen ausgenutzt wird. Diese Schwachstelle betrifft praktisch alle Windows-Versionen einschließlich Windows 7, Windows 8.1, Windows 10 und mehrere Windows-Server-Editionen. CISA hat die aktive Ausnutzung bestätigt und CVE-2021-1675 in den Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Kritisch ist, dass diese Schwachstelle in Ransomware-Kampagnen eingesetzt wird, und der EPSS-Score von 94,3 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivität hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.18967 |
| microsoft | windows 10 1607 | < 10.0.14393.4467 |
| microsoft | windows 10 1809 | < 10.0.17763.1999 |
| microsoft | windows 10 1909 | < 10.0.18363.1621 |
| microsoft | windows 10 2004 | < 10.0.19041.1052 |
| microsoft | windows 10 20h2 | < 10.0.19042.1052 |
| microsoft | windows 10 21h1 | < 10.0.19043.1052 |
| microsoft | windows 7 | - |
| microsoft | windows 8.1 | - |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2004 | < 10.0.19041.1052 |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.4467 |
| microsoft | windows server 2019 | < 10.0.17763.1999 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/163349/Microsoft-PrintNightmare-Proof-Of-Concept.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/163351/PrintNightmare-Windows-Spooler-Service-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/167261/Print-Spooler-Remote-DLL-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-1675(Patch, Vendor Advisory)
- https://www.kb.cert.org/vuls/id/383432(Third Party Advisory, US Government Resource)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-1675(US Government Resource)
Schwachstellentyp
NVD-CWE-noinfo: Unzureichende Informationen
Das NVD hat CVE-2021-1675 keinen spezifischen CWE-Typ zugewiesen. Die Schwachstelle betrifft die fehlerhafte Verarbeitung von Druckertreiberinstallationsanfragen im Windows Print-Spooler-Dienst, die eine Remotecodeausführung durch manipulierte Druckanfragen ermöglicht, die Sicherheitskontrollen umgehen.
Mehr erfahren: NVD Vulnerability Detail
Auswirkungsanalyse
CVE-2021-1675 hat einen CVSS-3.1-Score von 7,8 (HIGH), wobei die Auswirkung durch die Verbindung zu Ransomware-Kampagnen verstärkt wird. Die Schwachstelle erfordert lokalen Zugriff ohne Berechtigungen, benötigt jedoch Benutzerinteraktion zur Ausnutzung. Vertraulichkeit (Hoch): Bei erfolgreicher Ausnutzung erhält der Angreifer SYSTEM-Zugriff und damit Zugang zu allen Daten auf dem betroffenen System. Integrität (Hoch): Ein Angreifer kann bösartige Druckertreiber installieren, Systemdateien manipulieren und Persistenzmechanismen einrichten. Verfügbarkeit (Hoch): Die Ausnutzung kann zur vollständigen Systemübernahme führen, einschließlich der Bereitstellung von Ransomware, die Systeme unbrauchbar macht. Der EPSS-Score von 94,3 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzung hin, und die bestätigte Verwendung in Ransomware-Kampagnen macht diese Schwachstelle zu einer sofortigen Priorität.
Exploit-Reifegrad
CVE-2021-1675 verfügt über eine extrem ausgereifte Exploit-Landschaft mit weit verbreiteter aktiver Ausnutzung. Öffentlicher Exploit-Code ist verfügbar über mehrere Quellen, darunter ein Print-Spooler-Remote-DLL-Injection-Exploit auf Packet Storm Security sowie mehrere Proof-of-Concept-Exploits. CISA hat die aktive Ausnutzung bestätigt, und diese Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt, was die Dringlichkeit der Behebung erheblich erhöht. Der EPSS-Score von 94,3 % (99,9. Perzentil) spiegelt die nahezu universelle Ausnutzung wider. Diese Schwachstelle gehört zur breiteren PrintNightmare-Familie von Print-Spooler-Schwachstellen.
Behebung
- Microsoft-Sicherheitsupdates sofort anwenden gemäß CISA-KEV-Anforderung: Apply updates per vendor instructions. Patches sind über das Microsoft Security Response Center verfügbar.
- Aktualisieren Sie alle betroffenen Windows-Systeme auf die gepatchten Versionen: Windows 10 1507 (>= 10.0.10240.18967), Windows 10 1607 (>= 10.0.14393.4467), Windows 10 1809 (>= 10.0.17763.1999), Windows 10 1909 (>= 10.0.18363.1621), Windows 10 2004/20H2/21H1 (>= 10.0.19041.1052), Windows Server 2016 (>= 10.0.14393.4467), Windows Server 2019 (>= 10.0.17763.1999) sowie alle verfügbaren Updates für Windows 7, 8.1 und Server 2008/2012.
- Falls ein sofortiges Patchen nicht möglich ist, deaktivieren Sie den Print-Spooler-Dienst auf Systemen, die keine Druckfunktionalität benötigen:
Stop-Service -Name Spooler -Force; Set-Service -Name Spooler -StartupType Disabled. Für Domänencontroller und andere kritische Server wird die Deaktivierung des Print Spoolers dringend empfohlen. - Beschränken Sie eingehende Remote-Druckverbindungen durch Konfiguration der Gruppenrichtlinie, um Remoteverbindungen zum Print-Spooler-Dienst zu verhindern.
- Überwachen Sie Systeme auf Kompromittierungsindikatoren, darunter unerwartete DLL-Dateien in den Windows-Print-Spooler-Verzeichnissen, anomale spoolsv.exe-Kindprozesse und ungewöhnliche Druckertreiberinstallationen. Angesichts der Ransomware-Assoziation stellen Sie sicher, dass Offline-Backups aktuell und verifiziert sind.
Technische Details
CVE-2021-1675 nutzt eine Schwachstelle in der RpcAddPrinterDriverEx-Funktion des Windows Print-Spooler-Dienstes aus, die für die Verarbeitung von Druckertreiberinstallationsanfragen zuständig ist. Die Schwachstelle ermöglicht es einem Angreifer, eine bösartige DLL als Druckertreiber bereitzustellen, die der Print-Spooler-Dienst mit SYSTEM-Berechtigungen lädt und ausführt. Der CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) weist auf lokalen Zugriff ohne erforderliche Berechtigungen, aber mit notwendiger Benutzerinteraktion hin, wobei die Schwachstelle in der Praxis in bestimmten Konfigurationen auch remote ausgenutzt wurde. Der Angriff ist mit niedriger Komplexität unkompliziert, und die Auswirkungen umfassen die vollständige Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit.
Häufig gestellte Fragen
Wird CVE-2021-1675 aktiv ausgenutzt?
Ja. CVE-2021-1675 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen mit bestätigter aktiver Ausnutzung gelistet. Diese Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 94,3 % (99,9. Perzentil) spiegelt die weit verbreitete Ausnutzungsaktivität wider.
Welche Produkte sind betroffen?
CVE-2021-1675 betrifft praktisch alle Microsoft-Windows-Versionen, darunter Windows 7, Windows 8.1, Windows RT 8.1, Windows 10 (Versionen 1507, 1607, 1809, 1909, 2004, 20H2, 21H1) sowie Windows-Server-Editionen (2004, 2008, 2008 R2, 2012, 2012 R2, 2016, 2019).
Wie behebe ich CVE-2021-1675?
Wenden Sie die Microsoft-Sicherheitsupdates über das MSRC-Advisory an. Aktualisieren Sie auf die angegebenen gepatchten Versionen für Ihren Windows-Build. Falls ein sofortiges Patchen nicht möglich ist, deaktivieren Sie den Print-Spooler-Dienst auf Systemen, die kein Drucken benötigen, insbesondere auf Domänencontrollern und kritischen Servern.
Wie schwerwiegend ist CVE-2021-1675?
CVE-2021-1675 hat einen CVSS-3.1-Score von 7,8 (HIGH). Die Schwere wird durch die bestätigte Ransomware-Nutzung und einen EPSS-Score von 94,3 % (99,9. Perzentil) verstärkt. Dies ist eine kritische Schwachstelle, die sofortiges Handeln erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.