1、漏洞概述
北京时间8月11日，微软发布8月安全更新补丁，其中包括了在7月16日紧急发布的Windows Print Spooler权限提升漏洞（CVE-2021-34481），对应的补丁编号为KB5005652，微软同时将漏洞名称修改为远程代码执行。当 Windows Print Spooler 服务不正确地执行特权文件操作时，攻击者利用此漏洞可以使用 SYSTEM 权限运行任意代码。有国外研究人员在安装了最新补丁的Windows系统上进行测试，发现此次更新的CVE-2021-34481安全补丁无效，当受害者连接并安装攻击者控制的打印机时，可成功触发此漏洞。
成功复现此漏洞的补丁绕过：
2、影响范围
- Windows Server, version 20H2 (Server Core Installation)
- Windows Server, version 2004 (Server Core installation)
- Windows Server 2019 (Server Core installation)
- Windows Server 2019
- Windows Server 2016 (Server Core installation)
- Windows Server 2016
- Windows Server 2012 R2 (Server Core installation)
- Windows Server 2012 R2
- Windows Server 2012 (Server Core installation)
- Windows Server 2012
- Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
- Windows Server 2008 for x64-based Systems Service Pack 2
- Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
- Windows Server 2008 for 32-bit Systems Service Pack 2
- Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
- Windows Server 2008 R2 for x64-based Systems Service Pack 1
- Windows RT 8.1
- Windows 8.1 for x64-based systems
- Windows 8.1 for 32-bit systems
- Windows 7 for x64-based Systems Service Pack 1
- Windows 7 for 32-bit Systems Service Pack 1
- Windows 10 for x64-based Systems
- Windows 10 for 32-bit Systems
- Windows 10 Version 21H1 for x64-based Systems
- Windows 10 Version 21H1 for ARM64-based Systems
- Windows 10 Version 21H1 for 32-bit Systems
- Windows 10 Version 20H2 for x64-based Systems
- Windows 10 Version 20H2 for ARM64-based Systems
- Windows 10 Version 20H2 for 32-bit Systems
- Windows 10 Version 2004 for x64-based Systems
3、漏洞防护
目前微软官方暂未对此情况发布消息和举措，建议受影响的用户仅安装受信任的打印机，或关闭打印服务（Print Spooler）对此漏洞进行防护。
一、用户可通过停止并禁用Print Spooler服务对此漏洞进行缓解：
进入任务管理器，选择“服务”->”打开服务”->”选择Print Spooler”->”右键属性”，
启动类型”选择”禁用”，并点击”停止”，关闭服务，点击”应用”和”确定”，使配置生效。
注：停用此服务将导致打印功能失效。
二、通过组策略禁用入站远程打印：
运行组策略编辑器（Win+R，输入gpedit.msc，打开组策略编辑器），依次浏览到：计算机配置/管理模板/打印机：禁用“允许打印后台处理程序接受客户端连接：”策略以阻止远程攻击。
注：此策略将通过阻止入站远程打印操作来阻止远程攻击。该系统将不再用作打印服务器，但仍然可以本地打印到直接连接的设备。
