⚠️PrintNightmare, La PELIGROSA VULNERABILIDAD en IMPRESORAS

La raíz del problema reside en una función dentro del servicio, concretamente RpAddPrinterDriverEx(). Como se puede intuir, la finalidad del servicio es la instalación de una impresora de forma local o remota. ¿El problema? No se restringe el acceso a la misma, es decir, cualquier usuario autenticado o no autenticado puede hacer uso de la función.

Yyyyyyy claro, si se puede instalar una impresora, también se puede instalar un controlador no firmado, yyyyy… ¡¡¡ejecutar código malicioso remotamente!!!

Vamos, hablando claro, es posible hacerse con el control del sistema al completo 😊

Actualmente, el servicio de cola de impresión viene activo en todos los sistemas de usuario y servidor por defecto, y ninguno es una excepción.

Todos los sistemas Windows con servicio de cola de impresión están afectados.

¿Se arreglo definitivamente? Ñeehhh… y por esa expresión entended, que no del todo. Pero si se arregló lo más crítico. Aún queda algún problema en la ejecución de código localmente, pero se podría catalogar como más “leve”.

• Deshabilitar el servicio de cola de impresión. Esto es lo más radical, pero también lo que mejor evita la vulnerabilidad. A lo mejor en equipos de usuario no es viable, pero en servidores ya debería estar hecho 😉
• Evitar la impresión remota desde GPO. Desde el editor de directivas de grupo local o mediante políticas de dominio, en la ruta,

Configuración del equipo / Plantillas administrativas / Impresoras

Desactivar la política “Permitir que la cola de impresión acepte conexiones de cliente:“, para bloquear ataques remotos.

• Denegar el acceso al directorio de drivers. La vulnerabilidad se produce al dejar un controlador en la carpeta,

  C:\Windows\System32\spool\drivers

  Denegando la modificación del usuario “SYSTEM” a esa ruta, impedimos que se dejen DLLs maliciosas.

• Parches no oficiales. Los compañeros de 0patch sacaron unos parches que si corregían los problemas. Solo hay un “pero”, las actualizaciones de Windows “rompen” este parche por lo que habrá que deshabilitarlas momentáneamente. Aquí se pueden encontrar los parches:

https://blog.0patch.com/2021/07/free-micropatches-for-printnightmare.html

Para esta vulnerabilidad, recomiendo que trabajéis con las ultimas actualizaciones de Windows (que parece que resuelven el problema) y, en aquellos equipos donde no sea necesario imprimir, por ejemplo en servidores, deshabilitar el servicio completamente.