Forscher bringen Windows Printer Spooler zur Black Hat USA 2021 Der PrintNightmare geht weiter

Anbieter zum Thema

SEPPmail - Deutschland GmbH

TXOne Networks

Specops Software GmbH

Auch nach dem Juli-Patchday 2021 kämpft Microsoft weiter mit Sicherheitsschwachsstellen beim Windows Print Spooler. Während ein Patch gegen eine Anhebung der Benutzerrechte (CVE-2021-34481) noch aussteht, haben Hacker für die Black Hat USA 2021 bereits weiteres Ungemach angekündigt – und wollen am 4. August vor Publikum aus einem endlosen Quell von Sicherheitslücken schöpfen.

Der Albtraum geht weiter: Kurz nachdem Microsofts außerplanmäßige Fixes gegen „PrintNightmare“ (CVE-2021-34527) auch mit den kumulativen Sicherheitsfixes am Juli-Patchday 2021 ausgespielt wurden, hat der Hersteller jetzt über eine weitere Schwachstelle informiert. Einer am 15. Juli veröffentlichten Mitteilung zufolge handelt es sich bei CVE-2021-34481 um eine „Windows Print Spooler Elevation of Privelege Vulnerability“.

Microsoft Patchday Juli 2021

Microsoft schließt fast 120 schwere Sicherheitslücken

Angreifer können darüber beliebigen Code mit Systemrechten starten, vorausgesetzt sie haben einen direkten Zugang zum Rechner oder können einen Anwender täuschen und zur unfreiwilligen Mitarbeit bewegen. Gemäß Common Vulnerability Scoring System Version 3.0 (CVSS 3.0) erreicht die Schwachstelle Base Score Metrics von 7.8, was einem „hohen“ Bedrohungsgrad entspricht.

Als Behelfslösung empfiehlt Microsoft aktuell, die Druckerwarteschlange zu stoppen respektive zu deaktivieren. An einem Security Update arbeitet der Hersteller nach eigenem bekunden noch.

CVE-2021-34481 einzigartig, aber im Kontext zu sehen

Microsoft beschreibt die jetzt kommunizierte Schwachstelle zwar als „distinct“ – setzt die Sicherheitslücke damit aber dennoch in den Kontext weiterer Probleme mit der Druckerwarteschlange: So hatte Hersteller mit dem Juni-Patchday versucht, eine „Remote Code Execution“ (CVE-2021-1675) zu unterbinden.

Mit begrenztem Erfolg, denn: Im Nachgang tauchten auf Github Exploitcodes auf, welche die Warteschlange weiterhin missbrauchen konnten. Als Links hierzu liefert die entsprechende BSI-Cybersicherheitswarnung Github-Links mit weiteren Details zu „PrintNightmare (CVE-2021-1675): Remote code execution in Windows Spooler Service“ (aktuell nur noch per Archive.org verfügbar) respektive „Impacket implementation of the PrintNightmare PoC originally created by Zhiniang Peng (@edwardzpeng) & Xuefeng Li (@lxf02942370)“.

Auf diese reagierte Microsoft wiederum außer der Reihe (Out-of-Band) mit dem bereits zuvor genannten Update (CVE-2021-34527). Auch über die Wirksamkeit dieses Patches wurde zwischenzeitlich diskutiert. Microsoft sah sich daher veranlasst, in einem „Clarified Guidance for CVE-2021-34527 Windows Print Spooler Vulnerability“ klarzustellen: Der Patch funktioniert wie beabsichtigt; eventuelle Risiken rühren von unsicheren Registry-Settings her.

Selbst wenn man Microsoft hier folgt und ein Patch für die offene CVE-2021-34481 kommt: Die Druckerschlange könnte auch in Zukunft noch genug Stoff für manche negative Überraschung bergen.

Spooler wird Thema auf Black Hat USA 2021

Hierfür spricht auch die Ankündigung der Sicherheits-Forscher Zhiniang Peng, XueFeng Li und Lewis Lee vom Dienstleister Sangfor. Die drei haben für die kommende Sicherheitskonferenz Black Hat USA 2021 bereits den Vortrag „Diving Into Spooler: Discovering LPE and RCE Vulnerabilities in Windows Printer“ eingereicht und werden die Drucker-Schwachstellen von Windows eingehender betrachten.

Dabei spannen die Sangfor-Mitarbeiter einen weitaus größeren, zeitlichen Bogen und verweisen auf den berüchtigten Wurm Stuxnet, der bereits vor einer Dekade Schwächen im Windows Printer Spooler ausgenutzt habe, um über 45.000 Netzwerke zu infizieren.

Am 4. August wird man dann also genauer erfahren, was die Druckerwarteschlange zu einem endlosen Quell von Sicherheitslücken macht.

(ID:47526675)