Printspooler - Neue Sicherheitslücke

[zahni 554]

1607 und Windows 2016 wurden nun offenbar über Nacht nachgereicht:

 

[zahni 554]

Der Patch hilft offenbar nicht immer:

 

https://www.heise.de/news/Windows-Update-unvollstaendig-Sicherheitsforscher-umgehen-PrintNightmare-Patch-6131519.html

[Lian 2.436]

Es hört leider nicht auf nach dem Patch:

https://www.borncity.com/blog/2021/07/08/nachlese-das-chaos-printnightmare-notfall-update-6-7-juli-2021/

[NorbertFe 2.063]

Interessant. Also fassen wir zusammen:

1. Dienst überall deaktivieren, wo er nicht benötigt wird

2. remotezugriffe auf den Spoiler überall per gpo deaktivieren wo er nicht benötigt wird

3. Update Juli installieren 

4. restrict admins für die treiberinstallation für alle.

 

was bleibt danach noch offen, außer aufs nächste Update warten und wie hoch ist dann die Hürde, wenn man das obige alles umgesetzt hat.

 

Bye

norbert

[Lian 2.436]

Und/Oder die Rechte auf das Spooler modifizieren im Verzeichnis (C:\Windows\System32\spool\drivers).

[NorbertFe 2.063]

Würde mich mal interessieren, wie denn die Point and Print Policy in 4. reinspielt. Denn laut Artikel gilt ja  "The RestrictDriverInstallationToAdministrators registry setting resides under the PointAndPrint registry location but is specific to protections for CVE-2021-34527 but is not related to point and print behavior." Was heißt denn "not related"? :)

Also üblicherweise wurde bisher ja folgende Richtlinie gesetzt: https://www.faq-o-matic.net/2009/10/08/drucken-unter-windows-7-in-der-domne/ Damit war es dann "Nicht Admins" auf den PCs möglich Treiber zu erhalten, die auf dem Printserver (oder ggf. auch woanders?) bereitstanden. Eigentlich ja ein gewünschtes Verhalten. Wenn ich jetzt "RestrictDriverInstallationToAdministrators" wäre interessant, ob das Auswirkungen auf das bisherige Verhalten am PC hat. Ich vermute nein.

 

Bei all den ganzen Artikeln (hier, Heise, MS, usw. usf.) sieht man leider immer nur die Hälfte hab ich den Eindruck, weil niemand genau weiß, warum und wieso das bisher so gelöst wurde bzw. warum es auf einmal anders sein muss. :)

vor 1 Stunde schrieb Lian:

Und/Oder die Rechte auf das Spooler modifizieren im Verzeichnis (C:\Windows\System32\spool\drivers).

Hatte ich ja bereits oben verlinkt. Aber das ist im Zweifel ja nur die Holzhammermethode für "wenige" Printserver, bei denen man im Zweifel "manuell" für das Treiberupdate sorgen kann. Wenn man das jetzt bei 1000 PCs ausrollen würde (ginge ja problemlos per GPO), dann hätte man spätestens dann ein Problem, wenn ein neues Druckermodell mit neuem Treiber kommt und steht da. :) So zumindest mein aktuelles Verständnis.

[Lian 2.436]

vor einer Stunde schrieb NorbertFe:

Aber das ist im Zweifel ja nur die Holzhammermethode für "wenige" Printserver, bei denen man im Zweifel "manuell" für das Treiberupdate sorgen kann. Wenn man das jetzt bei 1000 PCs ausrollen würde (ginge ja problemlos per GPO), dann hätte man spätestens dann ein Problem, wenn ein neues Druckermodell mit neuem Treiber kommt und steht da. :) So zumindest mein aktuelles Verständnis.

Sehe ich auch so

Oder z.B. Terminal Server mit definiertem Treiberstand.

[NorbertFe 2.063]

Wer druckt denn schon auf Terminalserver. ;)

[Lian 2.436]

Drucken wird sowieso überbewertet 

[NorbertFe 2.063]

Genau, gibts da nicht was von $Cloud?

[v-rtc 88]

*OffTopic* Noch mal zum März... Weiß einer, ob die Patche für den Patch KB5000808 im WSUS auftauchen? Finde gerade nichts bei uns... oder muss man da besondere Punkte aktivieren?

 

Wir haben in ner kleinen Gruppe den neusten aktiviert, bisher leben die PCs noch... mal schauen... Einstellungen sind auch noch aktiv.

[Sunny61 807]

vor 3 Minuten schrieb v-rtc:

*OffTopic* Noch mal zum März... Weiß einer, ob die Patche für den Patch KB5000808 im WSUS auftauchen? Finde gerade nichts bei uns... oder muss man da besondere Punkte aktivieren?

Wenn Du in https://support.microsoft.com/de-de/topic/hinweise-zu-inhaltlichen-änderungen-bei-software-update-services-und-windows-server-update-services-im-jahr-2021-kb894199-0c540f4f-60c8-7dc2-23c9-48153749966d

danach suchst, findest Du die Klassifizierung in der das Update zu finden ist.

[v-rtc 88]

vor 3 Stunden schrieb Sunny61:

Wenn Du in https://support.microsoft.com/de-de/topic/hinweise-zu-inhaltlichen-änderungen-bei-software-update-services-und-windows-server-update-services-im-jahr-2021-kb894199-0c540f4f-60c8-7dc2-23c9-48153749966d

danach suchst, findest Du die Klassifizierung in der das Update zu finden ist.

Cool Danke! Tolle Seite, sowas hab ich gesucht.

[v-rtc 88]

vor 13 Stunden schrieb v-rtc:

Cool Danke! Tolle Seite, sowas hab ich gesucht.

Also die zwei sind nicht über das WSUS Update möglich. -> 9. März 2021 – KB5000808 (Betriebssystem-Build 18363.1440) (microsoft.com)

Danke. *OffTopicEnde*

[Sunny61 807]

vor 4 Minuten schrieb v-rtc:

Also die zwei sind nicht über das WSUS Update möglich. -> 9. März 2021 – KB5000808 (Betriebssystem-Build 18363.1440) (microsoft.com)

Danke. *OffTopicEnde*

An welcher Stelle genau liest Du raus, dass KB5000808 NICHT über den WSUS zur Verfügung gestellt wird? Vielleicht sehe ich es nicht, aber ich lese nichts von NICHT über den WSUS. Auch wenn es NICHT über den WSUS angeboten wird, man kann es ja, sofern es im MU-Catalog zu finden ist, auch direkt in den WSUS importieren.