PrintNightmare: Microsoft veröffentlicht außerplanmäßiges Sicherheitsupdate

Microsoft stuft die Zero-Day-Lücke in der Windows-Druckwarteschlange, die Sicherheitsforscher in der vergangenen Woche versehentlich veröffentlicht hatten, offenbar als sehr schwerwiegend ein. Seit gestern Abend ist ein außerplanmäßiges Update für Windows 10, 8.1 und sogar Windows 7 verfügbar.

“Es besteht eine Sicherheitsanfälligkeit bezüglich Remotecodeausführung, wenn der Windows Druckspooler-Dienst unzulässigerweise Dateivorgänge mit bestimmten Berechtigungen durchführt. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, könnte beliebigen Code mit System-Rechten ausführen. Der Angreifer könnte dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit uneingeschränkten Benutzerrechten erstellen”, heißt es in Microsofts Sicherheitswarnung.

Das Unternehmen weist zudem darauf hin, dass nicht nur ein funktionsfähiger Exploit vorliegt, sondern dass die Schwachstelle mit der Kennung CVE-2021-34527 auch aktiv ausgenutzt wird. Im Common Vulnerability Scoring System (CVSS) erreicht die Anfälligkeit 8,8 von 10 möglichen Punkten. Unter anderem sollen Angriffe ohne Benutzerinteraktion mögliche sein. Auch die Angriffskomplexität stuft Microsoft als niedrig ein.

Verfügbar ist das außerplanmäßige Update für Windows 10 Version 21H1, 20H1, 2004, 1909, 1809, 1803 und 1507. Auch Nutzer von Windows 8.1 und Windows 7 SP1 sollten sicherstellen, dass das Update zeitnah installiert wird. Den Patch verteilt Microsoft aber auch an Windows Server 2019, Server 2008 R2 und Server 2008. Außerdem sind laut Microsoft Fixes für Windows 10 Version 1607, Server 2012 und Server 2016 in Arbeit.

Microsoft weist in seiner Sicherheitsmeldung zudem darauf hin, dass es sich nur um einen vorläufigen Fix handelt, ohne weitere Details zu nennen. Wie BleepingComputer berichtet, hat der Sicherheitsforscher Matthew Hickey festgestellt, dass Microsoft nur einen Teil der PrintNightmare-Schwastelle schließt, nämlich jene, die eine Remotecodeausführung erlaubt. Der Angriffsvektor über eine nicht autorisierte Ausweitung von Benutzerrechten sei noch funktionsfähig.

Weiterhin gilt auch die von Microsoft angebotene Behelfslösung, den Dienst Druckwarteschlange auf Domänen-Controllern abzuschalten oder eingehende Remote-Druckaufträge über eine Gruppenrichtlinie zu deaktivieren. “Diese Richtlinie blockiert den Remote-Angriffsvektor, indem sie eingehende Remote-Druckvorgänge verhindert. Das System funktioniert dann nicht mehr als Druckserver, aber lokales Drucken auf einem direkt angeschlossenen Gerät ist weiterhin möglich”, beschreibt Microsoft den Workaround.