Twitter
Twitter
Facebook
Kaspersky Partner
Twitter
Facebook
Kaspersky Partner

Vulnérabilités - Incidents

Vulnérabilité dans #Microsoft #Windows – CERTFR-2021-ALE-014


vendredi 2 juillet 2021

Cette alerte annule et remplace l’alerte CERT-FR CERTFR-2021-ALE-013.

Le 29 juin 2021, deux chercheurs ont présenté une façon d’exploiter une vulnérabilité affectant le spouleur d’impression (print spooler) et permettant une exécution de code à distance, entraînant une élévation de privilèges avec les droits SYSTEM.

Le 1er juillet 2021, Microsoft a publié un avis de sécurité indiquant que cette vulnérabilité « jour zéro » (zero day) est différente de la vulnérabilité CVE-2021-1675 initialement corrigée lors du Patch Tuesday du 09 juin 2021.

Cette nouvelle vulnérabilité, CVE-2021-34527, affecte le spouleur d’impression (print spooler) qui est un composant du système d’exploitation Windows activé par défaut. Elle permet à un attaquant d’exécuter du code arbitraire à distance avec les droits SYSTEM.

Des codes d’exploitation sont publiquement disponibles sur Internet, ce qui signifie que l’exploitation de cette vulnérabilité est imminente ou déjà en cours.

Ces codes exploitent la possibilité offerte par le service spouleur d’impression de téléverser un pilote, dans le cadre de l’ajout d’une nouvelle imprimante, pour installer un code malveillant. Ce service étant activé par défaut, tout système Windows est donc actuellement vulnérable, avec la possibilité d’une exploitation à distance.

En particulier, au sein d’un système d’information Microsoft, les contrôleurs de domaine Active Directory sont particulièrement exposés, puisqu’un attaquant, ayant préalablement compromis un poste utilisateur, pourra in fine obtenir les droits et privilèges de niveau “administrateur de domaine” Active Directory.

Au vu de la criticité de cette vulnérabilité, l’ANSSI recommande fortement de réaliser les actions suivantes :

  • pour tous les systèmes ne nécessitant pas le service d’impression, en particulier pour les contrôleurs de domaine (le CERT-FR recommande fortement de ne jamais activer le service spouleur d’impression sur les contrôleurs de domaine) :
    • modifier le type de démarrage vers la valeur “Désactivé” / “Disabled” pour le service “Spooler” (description : “Spouleur d’impression” / “Print Spooler”, exécutable : “spoolsv.exe”),
    • une fois le service désactivé, il est nécessaire d’arrêter manuellement le service ou de redémarrer la machine ;
  • appliquer une politique de filtrage réseau afin d’éviter les latéralisations sur les systèmes nécessitant le service d’impression (notamment les postes de travail) : on pourra notamment utiliser le pare-feu intégré pour interdire les connexions entrantes sur les ports 445 et 139 (canaux nommés SMB) ainsi qu’interdire les connexions à destination du processus spoolsv.exe ;
  • désactiver la prise en compte des demandes d’impression distante sur l’ensemble des systèmes, tout en laissant la possibilité de lancer une impression locale. Ce paramètre peut être défini à l’aide d’une Stratégie de Groupe (Group Policy) : le paramètre « Autoriser le spouleur d’impression à accepter les connexions des clients » doit être à l’état « Désactivé »/« Disabled » (« Configuration ordinateur » / «Modèle d’administration » / « Imprimantes ») ;
  • mettre en place une détection système et réseau dans le but de détecter les exploitations sur les équipements vulnérables, les éventuelles latéralisations ainsi que la compromission des contrôles de domaine Active Directory ;
  • de suivre les recommandations de sécurisation d’Active Directory [1].

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-014/


SOLUTION

  • Cette alerte sera mise à jour lorsqu’un correctif sera disponible

INFORMATIONS D’AIDE À LA DÉTECTION SYSTÈME


SYSTÈMES AFFECTÉS

  • Windows Server, version 20H2 (Server Core Installation)
  • Windows Server 2019 (Server Core installation)
  • Windows Server 2019
  • Windows Server, version 2004 (Server Core installation)
  • Windows Server 2016 (Server Core installation)
  • Windows Server 2016
  • Windows Server 2012 R2 (Server Core installation)
  • Windows Server 2012 R2
  • Windows Server 2012
  • Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
  • Windows Server 2008 R2 for x64-based Systems Service Pack 1
  • Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
  • Windows Server 2008 for x64-based Systems Service Pack 2
  • Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
  • Windows Server 2008 for 32-bit Systems Service Pack 2
  • Windows 10 Version 21H1 for 32-bit Systems
  • Windows 10 Version 21H1 for ARM64-based Systems
  • Windows 10 Version 21H1 for x64-based Systems
  • Windows 10 Version 20H2 for x64-based Systems
  • Windows 10 Version 20H2 for ARM64-based Systems
  • Windows 10 Version 20H2 for 32-bit Systems
  • Windows 10 Version 2004 for x64-based Systems
  • Windows 10 Version 2004 for ARM64-based Systems
  • Windows 10 Version 2004 for 32-bit Systems
  • Windows 10 Version 1909 for ARM64-based Systems
  • Windows 10 Version 1909 for x64-based Systems
  • Windows 10 Version 1909 for 32-bit Systems
  • Windows 10 Version 1809 for ARM64-based Systems
  • Windows 10 Version 1809 for x64-based Systems
  • Windows 10 Version 1809 for 32-bit Systems
  • Windows 10 Version 1607 for x64-based Systems
  • Windows 10 Version 1607 for 32-bit Systems
  • Windows 10 for x64-based Systems
  • Windows 10 for 32-bit Systems
  • Windows 8.1 for x64-based systems
  • Windows 8.1 for 32-bit systems
  • Windows 7 for x64-based Systems Service Pack 1
  • Windows 7 for 32-bit Systems Service Pack 1
  • Windows RT 8.1

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-014/


MAJ 9 Juil 2021 – Windows Print Spooler : une vulnérabilité appelée PrintNightmare

Mettez à jour toutes les versions de Windows immédiatement pour corriger les vulnérabilités CVE-2021-1675 et CVE-2021-34527 dans le service Windows Print Spooler.
…/…

Comment protéger votre infrastructure contre PrintNightmare

La première chose à faire pour empêcher l’exploit de PrintNightmare est d’installer tous les correctifs publiés par Microsoft en juin et en juillet. Si vous ne pouvez pas installer les correctifs, vous trouverez également sur la dernière page quelques méthodes alternatives– dont l’une d’entre elles n’implique pas de désactiver Windows Print Spooler.

Ceci dit, nous recommandons fortement de désactiver Windows Print Spooler sur les appareils qui n’en ont pas besoin, ce qui est le cas notamment des serveurs des contrôleurs de domaine : il est très peu probable qu’ils aient besoin de la fonction d’impression.

De plus, chaque ordinateur et serveur doit posséder des solutions de sécurité des terminaux fiables afin d’empêcher les tentatives d’exploitation des vulnérabilités connues et inconnues, dont PrintNightmare.

Lire l’intégralité de l’article sur :

Vulnérabilité dans #Microsoft #Windows – CERTFR-2021-ALE-014

Cette alerte annule et remplace l’alerte CERT-FR CERTFR-2021-ALE-013.

Le 29 juin 2021, deux chercheurs ont présenté une façon d’exploiter une vulnérabilité affectant le spouleur d’impression (print spooler) et permettant une exécution de code à distance, entraînant une élévation de privilèges avec les droits SYSTEM.

Le 1er juillet 2021, Microsoft a publié un avis de sécurité indiquant que cette vulnérabilité « jour zéro » (zero day) est différente de la vulnérabilité CVE-2021-1675 initialement corrigée lors du Patch Tuesday du 09 juin 2021.

Cette nouvelle vulnérabilité, CVE-2021-34527, affecte le spouleur d’impression (print spooler) qui est un composant du système d’exploitation Windows activé par défaut. Elle permet à un attaquant d’exécuter du code arbitraire à distance avec les droits SYSTEM.

Des codes d’exploitation sont publiquement disponibles sur Internet, ce qui signifie que l’exploitation de cette vulnérabilité est imminente ou déjà en cours.

Ces codes exploitent la possibilité offerte par le service spouleur d’impression de téléverser un pilote, dans le cadre de l’ajout d’une nouvelle imprimante, pour installer un code malveillant. Ce service étant activé par défaut, tout système Windows est donc actuellement vulnérable, avec la possibilité d’une exploitation à distance.

En particulier, au sein d’un système d’information Microsoft, les contrôleurs de domaine Active Directory sont particulièrement exposés, puisqu’un attaquant, ayant préalablement compromis un poste utilisateur, pourra in fine obtenir les droits et privilèges de niveau “administrateur de domaine” Active Directory.

Au vu de la criticité de cette vulnérabilité, l’ANSSI recommande fortement de réaliser les actions suivantes :

  • pour tous les systèmes ne nécessitant pas le service d’impression, en particulier pour les contrôleurs de domaine (le CERT-FR recommande fortement de ne jamais activer le service spouleur d’impression sur les contrôleurs de domaine) :
    • modifier le type de démarrage vers la valeur “Désactivé” / “Disabled” pour le service “Spooler” (description : “Spouleur d’impression” / “Print Spooler”, exécutable : “spoolsv.exe”),
    • une fois le service désactivé, il est nécessaire d’arrêter manuellement le service ou de redémarrer la machine ;
  • appliquer une politique de filtrage réseau afin d’éviter les latéralisations sur les systèmes nécessitant le service d’impression (notamment les postes de travail) : on pourra notamment utiliser le pare-feu intégré pour interdire les connexions entrantes sur les ports 445 et 139 (canaux nommés SMB) ainsi qu’interdire les connexions à destination du processus spoolsv.exe ;
  • désactiver la prise en compte des demandes d’impression distante sur l’ensemble des systèmes, tout en laissant la possibilité de lancer une impression locale. Ce paramètre peut être défini à l’aide d’une Stratégie de Groupe (Group Policy) : le paramètre « Autoriser le spouleur d’impression à accepter les connexions des clients » doit être à l’état « Désactivé »/« Disabled » (« Configuration ordinateur » / «Modèle d’administration » / « Imprimantes ») ;
  • mettre en place une détection système et réseau dans le but de détecter les exploitations sur les équipements vulnérables, les éventuelles latéralisations ainsi que la compromission des contrôles de domaine Active Directory ;
  • de suivre les recommandations de sécurisation d’Active Directory [1].

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-014/


SOLUTION

  • Cette alerte sera mise à jour lorsqu’un correctif sera disponible

INFORMATIONS D’AIDE À LA DÉTECTION SYSTÈME


SYSTÈMES AFFECTÉS

  • Windows Server, version 20H2 (Server Core Installation)
  • Windows Server 2019 (Server Core installation)
  • Windows Server 2019
  • Windows Server, version 2004 (Server Core installation)
  • Windows Server 2016 (Server Core installation)
  • Windows Server 2016
  • Windows Server 2012 R2 (Server Core installation)
  • Windows Server 2012 R2
  • Windows Server 2012
  • Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
  • Windows Server 2008 R2 for x64-based Systems Service Pack 1
  • Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
  • Windows Server 2008 for x64-based Systems Service Pack 2
  • Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
  • Windows Server 2008 for 32-bit Systems Service Pack 2
  • Windows 10 Version 21H1 for 32-bit Systems
  • Windows 10 Version 21H1 for ARM64-based Systems
  • Windows 10 Version 21H1 for x64-based Systems
  • Windows 10 Version 20H2 for x64-based Systems
  • Windows 10 Version 20H2 for ARM64-based Systems
  • Windows 10 Version 20H2 for 32-bit Systems
  • Windows 10 Version 2004 for x64-based Systems
  • Windows 10 Version 2004 for ARM64-based Systems
  • Windows 10 Version 2004 for 32-bit Systems
  • Windows 10 Version 1909 for ARM64-based Systems
  • Windows 10 Version 1909 for x64-based Systems
  • Windows 10 Version 1909 for 32-bit Systems
  • Windows 10 Version 1809 for ARM64-based Systems
  • Windows 10 Version 1809 for x64-based Systems
  • Windows 10 Version 1809 for 32-bit Systems
  • Windows 10 Version 1607 for x64-based Systems
  • Windows 10 Version 1607 for 32-bit Systems
  • Windows 10 for x64-based Systems
  • Windows 10 for 32-bit Systems
  • Windows 8.1 for x64-based systems
  • Windows 8.1 for 32-bit systems
  • Windows 7 for x64-based Systems Service Pack 1
  • Windows 7 for 32-bit Systems Service Pack 1
  • Windows RT 8.1

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-014/


MAJ 9 Juil 2021 – Windows Print Spooler : une vulnérabilité appelée PrintNightmare

Mettez à jour toutes les versions de Windows immédiatement pour corriger les vulnérabilités CVE-2021-1675 et CVE-2021-34527 dans le service Windows Print Spooler.
…/…

Comment protéger votre infrastructure contre PrintNightmare

La première chose à faire pour empêcher l’exploit de PrintNightmare est d’installer tous les correctifs publiés par Microsoft en juin et en juillet. Si vous ne pouvez pas installer les correctifs, vous trouverez également sur la dernière page quelques méthodes alternatives– dont l’une d’entre elles n’implique pas de désactiver Windows Print Spooler.

Ceci dit, nous recommandons fortement de désactiver Windows Print Spooler sur les appareils qui n’en ont pas besoin, ce qui est le cas notamment des serveurs des contrôleurs de domaine : il est très peu probable qu’ils aient besoin de la fonction d’impression.

De plus, chaque ordinateur et serveur doit posséder des solutions de sécurité des terminaux fiables afin d’empêcher les tentatives d’exploitation des vulnérabilités connues et inconnues, dont PrintNightmare.

Lire l’intégralité de l’article sur :

Vulnérabilité dans #Microsoft #Windows – CERTFR-2021-ALE-014

Cette alerte annule et remplace l’alerte CERT-FR CERTFR-2021-ALE-013.

Le 29 juin 2021, deux chercheurs ont présenté une façon d’exploiter une vulnérabilité affectant le spouleur d’impression (print spooler) et permettant une exécution de code à distance, entraînant une élévation de privilèges avec les droits SYSTEM.

Le 1er juillet 2021, Microsoft a publié un avis de sécurité indiquant que cette vulnérabilité « jour zéro » (zero day) est différente de la vulnérabilité CVE-2021-1675 initialement corrigée lors du Patch Tuesday du 09 juin 2021.

Cette nouvelle vulnérabilité, CVE-2021-34527, affecte le spouleur d’impression (print spooler) qui est un composant du système d’exploitation Windows activé par défaut. Elle permet à un attaquant d’exécuter du code arbitraire à distance avec les droits SYSTEM.

Des codes d’exploitation sont publiquement disponibles sur Internet, ce qui signifie que l’exploitation de cette vulnérabilité est imminente ou déjà en cours.

Ces codes exploitent la possibilité offerte par le service spouleur d’impression de téléverser un pilote, dans le cadre de l’ajout d’une nouvelle imprimante, pour installer un code malveillant. Ce service étant activé par défaut, tout système Windows est donc actuellement vulnérable, avec la possibilité d’une exploitation à distance.

En particulier, au sein d’un système d’information Microsoft, les contrôleurs de domaine Active Directory sont particulièrement exposés, puisqu’un attaquant, ayant préalablement compromis un poste utilisateur, pourra in fine obtenir les droits et privilèges de niveau “administrateur de domaine” Active Directory.

Au vu de la criticité de cette vulnérabilité, l’ANSSI recommande fortement de réaliser les actions suivantes :

  • pour tous les systèmes ne nécessitant pas le service d’impression, en particulier pour les contrôleurs de domaine (le CERT-FR recommande fortement de ne jamais activer le service spouleur d’impression sur les contrôleurs de domaine) :
    • modifier le type de démarrage vers la valeur “Désactivé” / “Disabled” pour le service “Spooler” (description : “Spouleur d’impression” / “Print Spooler”, exécutable : “spoolsv.exe”),
    • une fois le service désactivé, il est nécessaire d’arrêter manuellement le service ou de redémarrer la machine ;
  • appliquer une politique de filtrage réseau afin d’éviter les latéralisations sur les systèmes nécessitant le service d’impression (notamment les postes de travail) : on pourra notamment utiliser le pare-feu intégré pour interdire les connexions entrantes sur les ports 445 et 139 (canaux nommés SMB) ainsi qu’interdire les connexions à destination du processus spoolsv.exe ;
  • désactiver la prise en compte des demandes d’impression distante sur l’ensemble des systèmes, tout en laissant la possibilité de lancer une impression locale. Ce paramètre peut être défini à l’aide d’une Stratégie de Groupe (Group Policy) : le paramètre « Autoriser le spouleur d’impression à accepter les connexions des clients » doit être à l’état « Désactivé »/« Disabled » (« Configuration ordinateur » / «Modèle d’administration » / « Imprimantes ») ;
  • mettre en place une détection système et réseau dans le but de détecter les exploitations sur les équipements vulnérables, les éventuelles latéralisations ainsi que la compromission des contrôles de domaine Active Directory ;
  • de suivre les recommandations de sécurisation d’Active Directory [1].

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-014/


SOLUTION

  • Cette alerte sera mise à jour lorsqu’un correctif sera disponible

INFORMATIONS D’AIDE À LA DÉTECTION SYSTÈME


SYSTÈMES AFFECTÉS

  • Windows Server, version 20H2 (Server Core Installation)
  • Windows Server 2019 (Server Core installation)
  • Windows Server 2019
  • Windows Server, version 2004 (Server Core installation)
  • Windows Server 2016 (Server Core installation)
  • Windows Server 2016
  • Windows Server 2012 R2 (Server Core installation)
  • Windows Server 2012 R2
  • Windows Server 2012
  • Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
  • Windows Server 2008 R2 for x64-based Systems Service Pack 1
  • Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
  • Windows Server 2008 for x64-based Systems Service Pack 2
  • Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
  • Windows Server 2008 for 32-bit Systems Service Pack 2
  • Windows 10 Version 21H1 for 32-bit Systems
  • Windows 10 Version 21H1 for ARM64-based Systems
  • Windows 10 Version 21H1 for x64-based Systems
  • Windows 10 Version 20H2 for x64-based Systems
  • Windows 10 Version 20H2 for ARM64-based Systems
  • Windows 10 Version 20H2 for 32-bit Systems
  • Windows 10 Version 2004 for x64-based Systems
  • Windows 10 Version 2004 for ARM64-based Systems
  • Windows 10 Version 2004 for 32-bit Systems
  • Windows 10 Version 1909 for ARM64-based Systems
  • Windows 10 Version 1909 for x64-based Systems
  • Windows 10 Version 1909 for 32-bit Systems
  • Windows 10 Version 1809 for ARM64-based Systems
  • Windows 10 Version 1809 for x64-based Systems
  • Windows 10 Version 1809 for 32-bit Systems
  • Windows 10 Version 1607 for x64-based Systems
  • Windows 10 Version 1607 for 32-bit Systems
  • Windows 10 for x64-based Systems
  • Windows 10 for 32-bit Systems
  • Windows 8.1 for x64-based systems
  • Windows 8.1 for 32-bit systems
  • Windows 7 for x64-based Systems Service Pack 1
  • Windows 7 for 32-bit Systems Service Pack 1
  • Windows RT 8.1

https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-014/


MAJ 9 Juil 2021 – Windows Print Spooler : une vulnérabilité appelée PrintNightmare

Mettez à jour toutes les versions de Windows immédiatement pour corriger les vulnérabilités CVE-2021-1675 et CVE-2021-34527 dans le service Windows Print Spooler.
…/…

Comment protéger votre infrastructure contre PrintNightmare

La première chose à faire pour empêcher l’exploit de PrintNightmare est d’installer tous les correctifs publiés par Microsoft en juin et en juillet. Si vous ne pouvez pas installer les correctifs, vous trouverez également sur la dernière page quelques méthodes alternatives– dont l’une d’entre elles n’implique pas de désactiver Windows Print Spooler.

Ceci dit, nous recommandons fortement de désactiver Windows Print Spooler sur les appareils qui n’en ont pas besoin, ce qui est le cas notamment des serveurs des contrôleurs de domaine : il est très peu probable qu’ils aient besoin de la fonction d’impression.

De plus, chaque ordinateur et serveur doit posséder des solutions de sécurité des terminaux fiables afin d’empêcher les tentatives d’exploitation des vulnérabilités connues et inconnues, dont PrintNightmare.

Lire l’intégralité de l’article sur :