JVNDB-2021-002274

Microsoft Windows の印刷スプーラにリモートコード実行の脆弱性

Microsoft Windows の Print Spooler サービスには、特権的なファイル操作を不適切に実施した場合、リモートコード実行が可能となる脆弱性があります。

Print Spooler サービスは、印刷において印刷待ちを実現するためのサービスです。2021年8月10日にリリースされたセキュリティ更新プログラムを適用していない Microsoft Windows において、管理者権限を持たないユーザが要求した場合であっても Print Spooler サービスはプリンタドライバを SYSTEM 権限でインストールします。また、Microsoft Windows は、プリンタドライバをインストールする際にドライバパッケージが信頼できるソースによって署名されていることを検証しますが、Windows のプリンタドライバはデバイスの使用に関する queue-spesific ファイルを指定でき、このファイルへの署名の検証は要求されません。
そのため、例えばプリンタドライバのインストール時に、これらのファイルを用いることですでにシステムに配置されている署名検証済みのファイルを上書きし、リモートのプリンタ側にファイル内のコードを自動的に実行するように設定することで、結果としてローカルでの権限昇格が可能です。

2021年8月16日時点では、影響バージョンは調査中とのことです。 詳しくは Microsoft が公開している情報を参照ください。

マイクロソフト

• (複数の製品)

第三者が、Microsoft Windows を細工したプリンタに接続することで、SYSTEM 権限で任意のコードを実行する可能性があります。

2021年8月16日時点では、脆弱性を修正したバージョンはリリースされておらず、準備中とのことです。
詳しくは Microsoft が公開している情報を参照ください。

[ワークアラウンドを実施する]
次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。

　* Print Spooler サービスを停止し、無効にする

なお、この緩和策を実行した場合、ローカルとリモートの両方で印刷ができなくなります。

また、CERT/CC より次のワークアラウンドが提示されています。
　* 外部ネットワークへの SMB 通信をブロックする（同一ネットワーク内からの SMB 共有による攻撃は軽減できません）
　* 管理者以外のユーザが Point and Point を利用して、プリンタをインストールする際に使用可能なサーバを制限する
　* SYSTEM アカウントが C:WindowsSystem32spool\\drivers ディレクトリの内容を変更できないよう制限する

詳しくは CERT/CC が公開している情報を参照ください。

マイクロソフト

• Microsoft : CVE-2021-36958 | Windows Print Spooler Remote Code Execution Vulnerability
• Microsoft : Microsoft Security Bulletin MS16-087 - Critical
• Microsoft : Introduction to Point and Print
• Microsoft : WHQL Release Signature
• Microsoft : Installing Queue-Specific Files

1. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2021-36958

1. JVN : JVNVU#96414899
2. National Vulnerability Database (NVD) : CVE-2021-36958
3. US-CERT Vulnerability Note : VU#131152

• [2021年08月18日]
    掲載