Onderzoekers waarschuwen voor een nieuwe kwetsbaarheid in de Windows Print Spooler waardoor een aanvaller code met systeemrechten kan uitvoeren wanneer er verbinding met een malafide printer wordt gemaakt. Een beveiligingsupdate van Microsoft is nog niet beschikbaar.

Het is inmiddels de vierde kwetsbaarheid in de Windows Print Spooler die in korte tijd is gevonden. De printspooler is verantwoordelijk voor de verwerking van printjobs op het systeem. Begin deze maand kwam Microsoft met een update voor een kwetsbaarheid in het Windows-onderdeel, aangeduid als CVE-2021-1675. Vervolgens werd er een tweede beveiligingslek ontdekt, dat bekendstaat als CVE-2021-34527 en PrintNightmare.

Vorige week liet Microsoft weten dat er opnieuw een kwetsbaarheid in de Print Spooler was aangetroffen, dat CVE-nummer CVE-2021-34481 kreeg. Nu melden onderzoekers dat er wederom een kwetsbaarheid in de Print Spooler is gevonden waarvoor een exploit op internet beschikbaar is.

Windows laat gebruikers zonder beheerdersrechten printerdrivers installeren, die via de Print Spooler-service met systeemrechten worden uitgevoerd. Dit is mogelijk via een feature genaamd Point and Click. Drivers die via Point and Click worden geïnstalleerd moeten zijn gesigneerd door Microsoft of een certificaat dat het systeem vertrouwt. Dit moet de installatie van malafide printerdrivers voorkomen.

De drivers moeten dan digitaal gesigneerd zijn, drivers zelf kunnen bepaalde bestanden queuen die niet digitaal gesigneerd hoeven te zijn. Door verbinding te maken met een malafide printer is het mogelijk om automatisch malafide dll-bestanden te downloaden en op het systeem uit te voeren. Deze dll-bestanden worden vervolgens met systeemrechten uitgevoerd. Zodoende kan een aanvaller met verminderde rechten eenvoudig volledige controle over het systeem krijgen.

Het CERT Coordination Center (CERT/CC) van de Carnegie Mellon Universiteit stelt dat er vooralsnog geen "praktische oplossing" voor het probleem is. Wel zijn er verschillende workarounds, zoals het blokkeren van uitgaand SMB-verkeer en het instellen van een policy waarmee wordt beperkt via welke servers gebruikers printers via Point and Print kunnen installeren. De policy zorgt ervoor dat er geen printers via willekeurige servers kunnen worden geïnstalleerd.

In onderstaande video geeft onderzoeker Benjamin Delpy een demonstratie van de kwetsbaarheid.