CVE-2021-34527
Microsoft Windows Print Spooler Remote Code Execution Vulnerability
Beschreibung
CVE-2021-34527, weithin bekannt als "PrintNightmare", ist eine hochgradige Remote-Code-Execution-Schwachstelle im Microsoft Windows Print Spooler-Dienst. Der Print Spooler-Dienst führt privilegierte Dateioperationen nicht ordnungsgemäß aus, wodurch ein authentifizierter Angreifer beliebigen Code mit SYSTEM-Berechtigungen remote ausführen kann. Dies ermöglicht einem Angreifer, Programme zu installieren, Daten einzusehen, zu ändern oder zu löschen und neue Konten mit vollen Benutzerrechten zu erstellen. CISA hat die aktive Ausnutzung bestätigt, indem CVE-2021-34527 in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen wurde, und die Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Mit einem EPSS-Score von 94,27 % (99,9. Perzentil) ist eine Ausnutzung nahezu sicher.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| microsoft | windows 10 1507 | < 10.0.10240.18969 |
| microsoft | windows 10 1607 | < 10.0.14393.4470 |
| microsoft | windows 10 1809 | < 10.0.17763.2029 |
| microsoft | windows 10 20h2 | < 10.0.19042.1083 |
| microsoft | windows 10 21h2 | < 10.0.19044.1415 |
| microsoft | windows 10 22h2 | < 10.0.19045.2251 |
| microsoft | windows 11 21h2 | < 10.0.22000.318 |
| microsoft | windows 11 22h2 | < 10.0.22621.674 |
| microsoft | windows rt 8.1 | - |
| microsoft | windows server 2008 | -; r2 |
| microsoft | windows server 2012 | -; r2 |
| microsoft | windows server 2016 | < 10.0.14393.4470 |
| microsoft | windows server 2019 | < 10.0.17763.2029 |
| microsoft | windows server 2022 | < 10.0.20348.230 |
| microsoft | windows server 20h2 | < 10.0.19042.1083 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527(Patch, Vendor Advisory)
- http://packetstormsecurity.com/files/167261/Print-Spooler-Remote-DLL-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-34527(Mitigation, Patch, Vendor Advisory)
- https://www.kb.cert.org/vuls/id/383432(Third Party Advisory, US Government Resource)
- https://www.vicarius.io/vsociety/posts/cve-2021-34527-printnightmare-detection-script(Exploit, Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2021-34527-printnightmare-mitigation-script(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-34527(US Government Resource)
Schwachstellentyp
Für CVE-2021-34527 wurde von NVD kein spezifisches CWE zugewiesen. Die Schwachstelle betrifft unsachgemäße privilegierte Dateioperationen im Windows Print Spooler-Dienst, die es authentifizierten Remote-Angreifern ermöglichen, bösartige DLLs zu laden und Codeausführung mit SYSTEM-Berechtigungen zu erreichen. Die zugrundeliegende Schwäche bezieht sich auf unzureichende Zugriffskontrolle und unsachgemäße Eingabevalidierung in der Druckertreiber-Installationsfunktionalität des Print Spoolers.
Auswirkungsanalyse
CVE-2021-34527 hat einen CVSS 3.1-Score von 8,8 (HOCH), was eine schwerwiegende Remote-Code-Execution-Bedrohung widerspiegelt. Die Schwachstelle ist remote über das Netzwerk ausnutzbar mit geringer Angriffskomplexität, erfordert nur eine niedrige Authentifizierung und keine Benutzerinteraktion, was sie für Angreifer mit jedem Netzwerkzugang hochgradig zugänglich macht. Eine erfolgreiche Ausnutzung führt zur vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit, da der Angreifer SYSTEM-Codeausführung erlangt. Der EPSS-Score von 94,27 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivitäten hin und platziert PrintNightmare unter den am aktivsten ausgenutzten Schwachstellen. Diese Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt, was das Geschäftsrisiko erheblich verstärkt. Die Kombination aus Remote-Ausnutzbarkeit, SYSTEM-Zugang und Ransomware-Verbindung macht CVE-2021-34527 zu einer der kritischsten Windows-Schwachstellen, die Organisationen beheben müssen.
Exploit-Reifegrad
CVE-2021-34527 (PrintNightmare) wird als aktiv ausgenutzt bestätigt, wie die Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen belegt, und wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Öffentlicher Exploit-Code ist verfügbar über Packet Storm Security (Print Spooler Remote DLL Injection) sowie über Erkennungs- und Mitigationsskripte, die von Vicarius vSociety veröffentlicht wurden. Der EPSS-Score von 94,27 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivitäten hin. Diese Schwachstelle wird häufig mit CVE-2021-1675, einer verwandten Print Spooler-Schwachstelle, verkettet, wobei die kombinierte Ausnutzung ein vollständigeres Angriffsszenario ermöglicht. Die weitverbreitete Verfügbarkeit von Exploit-Tools und die kritische Natur des Print Spooler-Dienstes in Windows-Umgebungen machen diese Schwachstelle zu einer sofortigen Behebungspriorität.
Behebung
- Sicherheitsupdates des Herstellers sofort anwenden, wie im CISA KEV-Katalog gefordert: Updates gemäß Herstelleranweisungen anwenden. Installieren Sie die Sicherheitsupdates von Microsoft vom Juli 2021 und nachfolgende Updates, die die Print Spooler Remote-Code-Execution-Schwachstelle beheben.
- Überprüfen Sie nach dem Patchen, dass die kritischen Registry-Einstellungen sicher konfiguriert sind: Stellen Sie sicher, dass die HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint-Schlüssel NoWarningNoElevationOnInstall und UpdatePromptSettings auf 0 gesetzt oder nicht definiert sind, da NoWarningNoElevationOnInstall = 1 das System bewusst verwundbar macht.
- Falls sofortiges Patchen nicht möglich ist, deaktivieren Sie den Print Spooler-Dienst auf Systemen, die keinen Druckdienst benötigen, insbesondere auf Domänencontrollern und Servern. Nutzen Sie Gruppenrichtlinien zur Deaktivierung des Dienstes.
- Beschränken Sie die Druckertreiber-Installation auf Administratoren, indem Sie Gruppenrichtlinien konfigurieren, die Nicht-Administratoren an der Installation von Druckertreibern hindern. Siehe Microsoft KB5005010 für Anleitungen zur Einschränkung der Installation neuer Druckertreiber.
- Überwachen Sie auf Kompromittierungsindikatoren, einschließlich verdächtiger DLL-Ladungen durch den spoolsv.exe-Prozess, unerwarteter Druckertreiber-Installationen und anomaler Netzwerkverbindungen auf Port 445 (SMB), die auf den Print Spooler-Dienst abzielen.
Technische Details
CVE-2021-34527 (PrintNightmare) ist eine Remote-Code-Execution-Schwachstelle im Windows Print Spooler-Dienst, bei der der Dienst privilegierte Dateioperationen während der Druckertreiber-Installation unsachgemäß durchführt. Der Angriffsvektor ist netzwerkbasiert (CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H), was bedeutet, dass ein authentifizierter Angreifer die Schwachstelle remote ausnutzen kann, indem er sich mit dem Print Spooler-Dienst verbindet und einen speziell präparierten Druckertreiber übermittelt, der den Dienst veranlasst, eine bösartige DLL mit SYSTEM-Berechtigungen zu laden. Die niedrige Authentifizierungsanforderung (jeder Domänenbenutzer) in Kombination mit der Tatsache, dass der Print Spooler-Dienst auf den meisten Windows-Systemen standardmäßig aktiviert ist, einschließlich Domänencontrollern, erzeugt eine extrem große Angriffsfläche. Die Schwachstelle ist eng mit CVE-2021-1675 verwandt, und die ab dem 6. Juli 2021 veröffentlichten Sicherheitsupdates enthalten Schutzmaßnahmen für beide Schwachstellen. Die kritischen Registry-Einstellungen unter HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint müssen auch nach dem Patchen korrekt konfiguriert sein, da eine falsche Konfiguration die Schwachstelle wieder einführt.
Häufig gestellte Fragen
Wird CVE-2021-34527 aktiv ausgenutzt?
Ja. CVE-2021-34527 (PrintNightmare) ist im CISA-Katalog bekannter ausgenutzter Schwachstellen aufgeführt, was eine weit verbreitete aktive Ausnutzung bestätigt. Sie wird auch bekanntermaßen in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 94,27 % (99,9. Perzentil) deutet auf nahezu sichere Ausnutzungsaktivitäten hin und macht dies zu einer der kritischsten zu behebenden Schwachstellen.
Welche Produkte sind betroffen?
CVE-2021-34527 betrifft den Windows Print Spooler-Dienst in praktisch allen Windows-Versionen, einschließlich Windows Server 2012, Windows Server 2016, Windows 10 und anderen Editionen, bei denen der Print Spooler-Dienst aktiviert ist. Domänencontroller sind besonders gefährdet, da der Print Spooler-Dienst dort standardmäßig aktiviert ist.
Wie behebe ich CVE-2021-34527?
Wenden Sie die Sicherheitsupdates von Microsoft vom Juli 2021 und nachfolgende Updates an. Überprüfen Sie nach dem Patchen, dass die PointAndPrint-Registry-Schlüssel korrekt konfiguriert sind (NoWarningNoElevationOnInstall = 0). Deaktivieren Sie auf Systemen ohne Druckbedarf den Print Spooler-Dienst vollständig. Siehe Microsoft KB5005010 für zusätzliche Anleitungen zur Einschränkung von Druckertreiber-Installationen.
Wie schwerwiegend ist CVE-2021-34527?
CVE-2021-34527 hat einen CVSS 3.1-Score von 8,8 (HOCH). Sie ermöglicht Remote-Code-Execution mit SYSTEM-Berechtigungen über das Netzwerk mit minimalen Voraussetzungen. Die Verbindung mit Ransomware-Kampagnen und der extrem hohe EPSS-Score (94,27 %) machen eine sofortige Behebung für alle Organisationen kritisch.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.