Эпопея вокруг выявленной уязвимости нулевого дня PrintNightmare не закончилась. Ее история уже была описана THG.ru в предыдущем посте, но она получила неожиданное продолжение.
Сначала появилось внеочередное обновление, которое было предназначено для исправления уязвимости нулевого дня PrintNightmare в службе диспетчера очереди печати Windows. Экстренность его выпуска указывает на то, что эксплойт представляет собой действительно очень серьезную опасность. Затем, буквально на следующий день, несколько хакеров продемонстрировали, что установленный патч можно легко обойти.
Dealing with strings & filenames is hard😉
New function in #mimikatz 🥝to normalize filenames (bypassing checks by using UNC instead of \servershare format)
So a RCE (and LPE) with #printnightmare on a fully patched server, with Point & Print enabled
> https://t.co/Wzb5GAfWfd pic.twitter.com/HTDf004N7r— 🥝 Benjamin Delpy (@gentilkiwi) July 7, 2021
Как сообщил разработчик Mimikatz Бенджамин Делп, для устранения «лечебного воздействия» обновления и использования уязвимости для локального повышения привилегий и удаленного выполнения кода должны быть выполнены два условия: 1) активна политика Point and Print Restrictions и 2) параметр «When installing drivers for a new connection» должен быть установлен на значение «Do not show warning on elevation prompt».
Confirmed.
If you have a system where PointAndPrint NoWarningNoElevationOnInstall = 1, then Microsoft’s patch for #PrintNightmare CVE-2021-34527 does nothing to prevent either LPE or RCE. https://t.co/RgIc1yrnhn pic.twitter.com/Ntxe9wpuke— Will Dormann (@wdormann) July 7, 2021
В ответ на это заявление хакеров Microsoft опубликовала свой комментарий через портал BleepingComputer. Суть ответа Microsoft в том, что предложенное хакерами решение для обхода установленного патча не представляет реальную угрозу.
«Нам известно о появившихся заявлениях, что патч можно обойти, и ведется расследование. Но в настоящее время мы не знаем ни о каких обходах», — сообщила Microsoft.
Как оказалось, суть выпущенного патча состояла в том, чтобы разрешить установку драйверов без предупреждения. При этом компания Microsoft настаивала на том, что конфигурация по умолчанию является безопасной.
Microsoft обновила также руководство по исправлению проблемы PrintNightmare, призывая пользователей как можно скорее установить обновление. В новой версии указывалось, что для подтверждения того, что обновление «встало» правильно, пользователям следует проверить следующие значения реестра. Они должны быть установлены на ноль:
- HKEY_LOCAL_MACHINE SOFTWARE Policies Microsoft Windows NT Printers PointAndPrint
NoWarningNoElevationOnInstall = 0 (DWORD) или не определено (настройка по умолчанию)
- UpdatePromptSettings = 0 (DWORD) или не определено (настройка по умолчанию)
Но трудности на этом не закончились. Как сообщило издание Bleeping Computer, установленное обновление вывело из строя некоторые модели принтеров, в частности, модели Zebra и Dymo. После установки патча, от пользователей стали поступать массовые жалобы, где сообщалось о невозможности печати на принтерах Zebra.
Расследование показало, что проблема затрагивала только принтеры, подключенные через USB-порт. При подключении принтеров Zebra к серверу печати напрямую изъянов не наблюдалось.
Пока ситуация остается неопределенной.
Ранее редакция THG.ru опубликовала статью об искусственном интеллекте. Искусственный интеллект уже давно занял важное место в научно-фантастической литературе и голливудских блокбастерах. Именно они формируют мнение большинства людей о том, что из себя представляет ИИ, и чего от него следует ожидать. Но насколько это мнение соответствует реальному положению вещей? Давайте разбираться. Подробнее об этом читайте в статье «Искусственный интеллект: правда и вымысел».
