Ce este PrintNightmare și ce ar trebui să facă administratorii de sistem

PrintNightmare (CVE-2021-34527) este o vulnerabilitate a serviciului de printare din Windows (Print Spooler) prin care un atacator putea rula cod malițios cu drepturi de administrator și putea prelua controlul stațiilor de lucru și al serverelor, inclusiv al controlerelor de domeniu. Microsoft a confirmat-o la începutul lui iulie 2021 și a corectat-o prin actualizările lansate în vara aceluiași an. Pe sistemele actualizate, PrintNightmare nu mai este o amenințare, dar lecția ei rămâne valabilă: serviciile care nu sunt necesare se opresc, iar actualizările se instalează la timp.

Ce s-a întâmplat în iulie 2021?

O nouă vulnerabilitate de tip zero-day a zguduit atunci lumea Windows, iar aceasta a fost denumită intuitiv PrintNightmare.

Mai exact, breșa de securitate le permitea hackerilor să folosească componenta de printare (print spooler) pentru a rula cod malițios cu drepturi de administrator, deci implicit pentru a obține control deplin asupra stațiilor de lucru din organizații.

Vulnerabilitatea era prezentă pe toate stațiile de lucru și serverele cu Windows care aveau activ serviciul de printare (Print Spooler).

Microsoft a lansat pe 6 iulie 2021 o actualizare de securitate de urgență, disponibilă prin Windows Update, dar aceasta a generat alte bătăi de cap. Patchul nu rezolva complet problema și bloca printarea pe unele imprimante Zebra.

Ce recomandam atunci administratorilor de sistem?

Pentru că prima actualizare nu era completă, specialiștii au propus mai multe soluții temporare, până la un patch definitiv. În iulie 2021 recomandam una dintre aceste trei variante, în funcție de necesități și de abilități:

• Prima și cea mai simplă recomandare era să dezactivați serviciul de printare (Print Spooler) pe toate stațiile de lucru care nu au nevoie să printeze. Din punct de vedere al securității, este optim să dezactivați serviciile care nu sunt necesare activității de zi cu zi, pentru a limita vulnerabilitățile. Recomandarea rămâne valabilă și astăzi.
• A doua variantă era micropatch-ul gratuit oferit de 0patch, în locul actualizării Microsoft din 6 iulie, cu care nu era compatibil. Era o soluție de moment: astăzi se instalează actualizările Microsoft.
• A treia variantă era instalarea actualizării Microsoft și setarea „RestrictDriverInstallationToAdministrators”, care le permite doar administratorilor să instaleze drivere de printare pe serverele de printare.

Ce s-a schimbat după iulie 2021?

Pe 10 august 2021, Microsoft a schimbat comportamentul implicit al Windows: după actualizările din acea lună, doar administratorii mai pot instala sau actualiza drivere de imprimantă prin Point and Print. Practic, setarea „RestrictDriverInstallationToAdministrators” a devenit implicită. Detaliile sunt în articolul Microsoft KB5005652. În lunile următoare au urmat și alte corecturi pentru serviciul de printare.

Concluzia: un calculator sau un server cu Windows care primește actualizările lunare este protejat împotriva PrintNightmare. Riscul rămâne pe sistemele care nu mai primesc actualizări, cum sunt Windows 10 fără programul plătit ESU sau Windows Server 2012 și 2012 R2, ieșite din suport pe 10 octombrie 2023.

Ce ar trebui să facă administratorii de sistem în 2026?

1. Instalați lunar actualizările de securitate pe stații și pe servere și urmăriți ca niciun sistem să nu rămână în urmă.
2. Nu reveniți la vechea setare. Valoarea „RestrictDriverInstallationToAdministrators” trebuie să rămână 1; dacă un utilizator are nevoie de un driver nou, îl instalează un administrator.
3. Opriți serviciul de printare acolo unde nu este nevoie de el, mai ales pe controlerele de domeniu și pe serverele care nu printează.
4. Înlocuiți sistemele ieșite din suport. Ele nu mai primesc corecturi pentru vulnerabilitățile care apar. Vedeți și articolul despre problema tehnologiilor end of life (EOL).
5. Pe Windows 11, analizați modul de printare protejat (Windows protected print mode), care printează fără drivere de la terți, pe imprimantele certificate Mopria.

Întrucât toate aceste recomandări necesită cunoștințe solide de IT, recomandarea noastră este să apelați la o companie de Externalizare IT. În acest sens, RezolvIT vă stă la dispoziție, atât cu expertiza, cât și cu capacitatea de a securiza rapid infrastructura dumneavoastră.

Pe lângă recomandările de mai sus, revenim asupra recomandărilor generale de securitate:

• implementați o politică solidă de backup pentru toate sistemele vitale companiei dumneavoastră;
• folosiți soluții performante antimalware și antivirus, gestionate în mod centralizat;
• implementați politica de securitate a companiei pe mai multe niveluri, folosind atât soluții antimalware, cât și un firewall.

Backup as a Service: vreau detalii →

Scopul acestui articol a fost să vă aducem la cunoștință vulnerabilitatea PrintNightmare și să vă propunem un set de recomandări. Dacă securitatea este importantă pentru compania dumneavoastră (și ar trebui să fie), cereți un Audit IT gratuit și verificăm împreună aceste setări în rețeaua firmei.

RezolvIT susține companiile cu care lucrează, de la Securitate IT până la lucrul angajaților de la distanță.