CVE-2021-1675 / CVE-2021-34527

Zwei Mini-Skripte, um zu prüfen, ob der PrintSpooler-Dienst in der Gesamtstruktur ausgeführt wird.

CVE-2021-1675:

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-1675

CVE-2021-34527, auch bekannt als PrintNightmare

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527

Skripte

Erkennen, ob der Drucker-Spoolerdienst auf DCs ausgeführt wird:

https://github.com/DenizSe/CVE-2021-1675/blob/main/Get-PrinterSpoolerState.ps1

Erkennen, ob der Drucker-Spoolerdienst auf Computern innerhalb einer OU ausgeführt wird:

https://github.com/DenizSe/CVE-2021-1675/blob/main/Get-PrinterSpoolerStateOU.ps1

Offizielle Anleitung (Entnommen aus CVE-2021-34527

Problemumgehungen

Stellen Sie fest, ob der Print Spooler-Dienst ausgeführt wird (führen Sie dies als Domänenadministrator aus)

Führen Sie Folgendes als Domänenadministrator aus:

Get-Service -Name Spooler

Wenn der Print Spooler ausgeführt wird oder der Dienst nicht auf „Deaktiviert“ gesetzt ist, wählen Sie eine der folgenden Optionen, um entweder den Print Spooler-Dienst zu deaktivieren oder eingehendes Remote-Drucken über Gruppenrichtlinien zu deaktivieren:

Option 1 – Den Print Spooler-Dienst deaktivieren

Wenn das Deaktivieren des Print Spooler-Dienstes für Ihr Unternehmen geeignet ist, verwenden Sie die folgenden PowerShell-Befehle:

Stop-Service -Name Spooler -Force

Set-Service -Name Spooler -StartupType Disabled

Auswirkung der Problemumgehung: Das Deaktivieren des Print Spooler-Dienstes deaktiviert die Möglichkeit, sowohl lokal als auch remote zu drucken.

Option 2 – Eingehendes Remote-Drucken über Gruppenrichtlinien deaktivieren

Sie können die Einstellungen auch wie folgt über Gruppenrichtlinien konfigurieren:

Computer Configuration / Administrative Templates / Printers

Deaktivieren Sie die Richtlinie „Allow Print Spooler to accept client connections:“, um Remote-Angriffe zu blockieren.

Auswirkung der Problemumgehung: Diese Richtlinie blockiert den Remote-Angriffsvektor, indem eingehende Remote-Druckvorgänge verhindert werden. Das System fungiert nicht mehr als Druckserver, aber das lokale Drucken auf ein direkt angeschlossenes Gerät ist weiterhin möglich.

Weitere Informationen finden Sie unter: Verwenden von Gruppenrichtlinieneinstellungen zum Steuern von Druckern.