Es hört nicht auf: Weitere PrintNightmare-Schwachstelle aufgetaucht

Anfang Juli ist die als PrintNightmare bekannt gewordene Lücke zum ersten Mal aufgetaucht und auch gut einen Monat später ist diese Schwachstelle nach wie vor ein Thema. Denn kurz nach der Veröffentlichung eines neuen Patches ist ein weiterer sicherheitsrelevanter Bug aufgetaucht. Langsam wird es unübersichtlich bzw. kann man von unendlicher Geschichte sprechen: Denn Microsoft hat kurz nach der Veröffentlichung eines neuen PrintNightmare-Patches eine weitere Print-Spooler-Schwachstelle einräumen müssen, diese hat die "Common Vulnerabilities and Exposures"-Nummer CVE-2021-36958 bekommen.

Wie Bleeping Computer berichtet, erlaubt die neueste Lücke es einem (lokalen?) Angreifer, System-Privilegien auf einem Rechner zu bekommen. Die neueste Schwachstelle zählt damit zur als PrintNightmare bekannt gewordenen "Bug-Klasse". Hierbei werden im Wesentlichen Konfigurationseinstellungen im Druckerspooler, den Treibern sowie dem Windows Point and Print-Feature missbraucht.

Trotz Patches noch ein Thema

Zwar haben die Redmonder bereits mehrere Patches veröffentlicht, die PrintNightmare ansprechen sollen, doch nun hat der Sicherheitsforscher Benjamin Delpy eine weitere Variante entdeckt. Diese verwendet die CopyFile-Registrierungsanweisung, um eine DLL-Datei zu kopieren, die eine Eingabeaufforderung auf dem Client zusammen mit einem Druckertreiber öffnet, wenn man eine Verbindung zu einem Drucker herstellt.

Microsoft hat zuletzt bei den PrintNightmare-Patches den Installationsmodus von Treibern geändert, sodass man für die Druckertreiber-Installation Adminrechte benötigt. Allerdings sind diese nicht erforderlich, wenn man sich mit einem Drucker verbindet, dessen Treiber bereits installiert ist.

Etwas verwirrend ist jedoch Microsofts CVE-Angabe: Denn einerseits spricht man von Remote Code Execution, andererseits heißt es, dass der Angriff lokal auf einem Rechner durchgeführt werden muss. Das ist allerdings auch ein gutes Beispiel für das Chaos, das im Zusammenhang mit PrintNightmare bei Microsoft offenbar herrscht. Derzeit gibt es keinen Patch für die neueste Ausgabe der Lücke, man kann sich lediglich behelfen, indem man den Druckerspooler deaktiviert, alternativ kann man einem Gerät erlauben, Drucker nur von autorisierten Servern zu installieren.

Siehe auch: