آسیب پذیری Print Spooler با نام PrintNightmare

هنگامی‌که سرویسWindows Print Spoolerبه طور نامناسب عملیاتی را در سطح کاربریprivilegedانجام دهد، باعث می­شود آسیب‌پذیری از نوع اجرای کد از راه‌ دور به شناسهCVE-2021-34527که اصطلاحا با نامPrint Nightmareشناخته می‌شود، رخ دهد. مهاجمی‌که با موفقیت از این آسیب‌پذیری سوء استفاده نماید، می‌تواند کد دلخواه خود را در سطحSYSTEMاجرا نموده و همچنین برنامه‌های مورد نظر را با سوء استفاده از این آسیب‌پذیری بر روی سیستم قربانی نصب کند. علاوه بر این مهاجم قابلیت مشاهده، تغییر یا حذف داده‌ها را نیز در اختیار دارد. در نهایت می­ تواند یک حساب کاربری که دارای حقوق کاربر است را ایجاد و از آن سوء استفاده کند.

همچنین مهاجم می‌تواند تغییراتی در محیط اکتیو دایرکتوری با سطح دسترسیprivilegedتاadminایجاد کند.

این نوع حمله در تمامی‌نسخه‌های ویندوز قابل اجرا می‌باشد و میزان شدت آسیب‌پذیری این حمله از طرف مایکروسافتHighیاCriticalتلقی شده است و میزانCVSSآن در سایت مایکروسافت برابر 8.8 است.

آسیب‌پذیریPrint Nightmareبه 4 دلیل بسیار خطرناک در نظر گرفته می­شود

1. محل این آسیب‌پذیری سرویسWindows Print Spoolerمی­باشد که به صورت پیش‌فرض بر روی تمامی‌سیستم عامل‌های ویندوز، از جمله کنترل‌کننده‌های دامنه و رایانه‌هایی با سطوح دسترسی ادمین سیستم فعال می‌باشد. این موضوع باعث می­شود تمامی‌دستگاه‌های موجود با سیستم عامل ویندوز در معرض خطر قرار بگیرند.
2. سوء تفاهم پیش ­آمده بین گروهی از محققان منجر به این شد که مفهوم این آسیب‌پذیری به صورت آنلاین منتشر بشود. محققان کاملا مطمئن بودند که وصله‌ی امنیتی مایکروسافت آسیب‌پذیری را برطرف کرده است، پس آن‌ها جزئیات آسیب‌پذیری را با جامعه کارشناسان در میان گذاشتند و اطلاعات آن به صورت عمومی‌پخش شده است.
3. این آسیب‌پذیری، از نوع افزایش سطح دسترسی نیز هست که مهاجم با سطح دسترسی پایین با استفاده از یک فایل مخربDLLدر سیستم به سطوح بالاتر دسترسی پیدا کند و قابلیت اجرای کد از راه دور هم وجود دارد. مهاجم می­تواند بدون دسترسی مستقیم به دستگاه موردنظر فایلDLLمخرب را تزریق کند.
4. از آنجایی که با استفاده از این آسیب‌پذیری، می­توان به داده‌های زیرساختی یک شرکت­ دسترسی پیدا کرد، می­توان از آن برای حملات باج­افزاری نیز استفاده نمود؛ بنابراین این حمله می‌تواند صدمات جبران ناپذیری به شبکه وارد کند و باعث مختل شدن آن شود. راهکارهایی وجود دارد که می‌توان با استفاده از آن ها از وقوع این حمله پیشگیری کرد.

مایکروسافت برای جلوگیری از وقوع این آسیب وصله‌ی امنیتی در تاریخ7 july2021 برایWindows10Windows server 2012, Windows server 2016نسخه1607منتشر کرده است.

برای دیدن وصله‌های مناسب برای سیستم مورد نظر، جدول وصله‌های امنیت در سیستم را چک نمائید. توصیه می‌شود هر چه سریع‌تر به نصب وصله‌های امنیتی اقدام کنید.

اگر در نصب وصله به مشکل مواجه شدید راهنماهای موجود در قسمت مربوط به این حمله در سایت مایکروسافت مراجعه نمایید

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527

علاوه بر نصب وصله‌های امنیتی، برای اینکه سیستم خود را در برابر این آسیب‌پذیری ایمن سازید، نیاز است که تنظیمات رجیستری خود را روی 0 یا تعریف نشده قرار دهید.

از راه‌های دیگر برای جلوگیری از وقوع این آسیب‌پذیری، غیرفعال کردن سرویسWindows Print Spoolerدر رایانه یا کنترل‌‎کننده‌ی دامنه می­باشد. البته با غیرفعال شدن این سروریس قابلیت پرینت گرفتن از دستگاه موردنظر گرفته می‌شود.

همچنین تنظیمات گروپ پالیسی شما هم باید صحیح باشد

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint

NoWarningNoElevationOnInstall = 0 (DWORD) or not defined (default setting)

UpdatePromptSettings = 0 (DWORD) or not defined (default setting)

برای ارزیابی پایداری، امنیت و نگهداری این زیرساخت، راهنمای پشتیبانی شبکه را نیز مطالعه کنید.