CVE-2021-1675 / CVE-2021-34527

포리스트 내에서 PrintSpooler 서비스가 실행 중인지 확인하는 두 개의 미니 스크립트입니다.

CVE-2021-1675:

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-1675

CVE-2021-34527 일명 PrintNightmare

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527

스크립트

DC에서 실행 중인 프린터 스풀러 서비스 감지:

https://github.com/DenizSe/CVE-2021-1675/blob/main/Get-PrinterSpoolerState.ps1

OU 내의 컴퓨터에서 실행 중인 프린터 스풀러 서비스 감지:

https://github.com/DenizSe/CVE-2021-1675/blob/main/Get-PrinterSpoolerStateOU.ps1

공식 지침 (CVE-2021-34527에서 발췌

해결 방법

Print Spooler 서비스가 실행 중인지 확인합니다 (도메인 관리자로 실행)

도메인 관리자로 다음을 실행합니다:

Get-Service -Name Spooler

Print Spooler가 실행 중이거나 서비스가 사용 안 함으로 설정되지 않은 경우, 다음 옵션 중 하나를 선택하여 Print Spooler 서비스를 비활성화하거나 그룹 정책을 통해 인바운드 원격 인쇄를 비활성화합니다:

옵션 1 - Print Spooler 서비스 비활성화

Print Spooler 서비스 비활성화가 조직에 적합한 경우 다음 PowerShell 명령을 사용합니다:

Stop-Service -Name Spooler -Force

Set-Service -Name Spooler -StartupType Disabled

해결 방법의 영향: Print Spooler 서비스를 비활성화하면 로컬 및 원격 인쇄 기능이 모두 비활성화됩니다.

옵션 2 - 그룹 정책을 통해 인바운드 원격 인쇄 비활성화

그룹 정책을 통해 다음과 같이 설정을 구성할 수도 있습니다:

Computer Configuration / Administrative Templates / Printers

원격 공격을 차단하려면 "인쇄 스풀러가 클라이언트 연결을 허용하도록 허용:" 정책을 비활성화합니다.

해결 방법의 영향: 이 정책은 인바운드 원격 인쇄 작업을 차단하여 원격 공격 경로를 차단합니다. 시스템은 더 이상 인쇄 서버로 작동하지 않지만, 직접 연결된 장치로의 로컬 인쇄는 계속 가능합니다.

자세한 내용은 다음을 참조하세요: 그룹 정책 설정을 사용하여 프린터 제어