PrintNightmare, Point-and-Print, GPO haerten, Active Directory: Der Fix mit zwei Werten, den niemand fertiggestellt hat

PrintNightmare Point-and-Print GPO haerten Active Directory-weit: Was es abdeckt

Im Juli 2021 einigte sich die Branche auf eine einzige Anweisung: den Print Spooler auf den Domänencontrollern stoppen. Dieser Rat war richtig — und unvollständig. Die Kontrolle, die die Lücke tatsächlich schließt, ist PrintNightmare Point-and-Print GPO haerten Active Directory-weit, und sie läuft auf zwei Registry-Werte hinaus, die die meisten Umgebungen nie gemeinsam geprüft haben. Microsofts eigene Anleitung zu CVE-2021-34527 beantwortet zwei Fragen unmittelbar nacheinander. „Sind Domänencontroller von der Schwachstelle betroffen? Domänencontroller sind betroffen, wenn der Print-Spooler-Dienst aktiviert ist." Und direkt danach: „Sind Clientsysteme und Mitgliedsserver, die keine Domänencontroller sind, von der Schwachstelle betroffen? Ja. Alle Editionen von Windows sind betroffen." Einen Dienst auf drei oder vier DCs zu stoppen hat ein privilegiertes Ziel entfernt und den Treiberinstallationspfad auf jeder Workstation und jedem Mitgliedsserver intakt gelassen, die Sie besitzen.

PrintNightmare ist der öffentliche Name für CVE-2021-34527, eine Remote-Code-Execution-Schwachstelle im Print Spooler, die Microsoft als Kritisch einstuft, mit einem CVSS-3.1-Basiswert von 8,8 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H). Zum Zeitpunkt der Veröffentlichung verzeichnete Microsofts Ausnutzbarkeitsbewertung: Publicly Disclosed: Yes; Exploited: Yes. CISA hat sie am 03.11.2021 in den Known-Exploited-Vulnerabilities-Katalog aufgenommen, mit einer Behebungsfrist zum 03.05.2022, und markiert sie mit knownRansomwareCampaignUse: Known. Es handelt sich nicht um einen theoretischen Befund.

Sie wird zudem häufig mit CVE-2021-1675 verwechselt, das mit dem Update vom 8. Juni 2021 adressiert wurde. Microsofts Antwort in den FAQ dieser CVE ist unmissverständlich: „Handelt es sich um die Schwachstelle, die öffentlich als PrintNightmare bezeichnet wurde? Nein, Microsoft hat PrintNightmare die CVE-2021-34527 zugewiesen. CVE-2021-1675 ist ähnlich, aber verschieden von CVE-2021-34527." Beide stehen im CISA-KEV-Katalog und beide sind für bekannten Ransomware-Einsatz markiert.

Wie es funktioniert: Zwei Registry-Werte, ein Urteil

Beide Werte liegen unter demselben Schlüssel, dokumentiert in KB5005010 und KB5005652:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint

Das Zusammenspiel der ersten beiden ist der Teil, der übersehen wird, und KB5005652 dokumentiert es präzise.

RestrictDriverInstallationToAdministrators auf 1 zu setzen — oder undefiniert zu lassen — „erfordert Administratorrechte, um über Point and Print einen Druckertreiber zu installieren. Dieser Registrierungsschlüssel überschreibt alle Point-and-Print-Einschränkungen der Gruppenrichtlinieneinstellungen."

Ihn auf 0 zu setzen „erlaubt Nicht-Administratoren, signierte und unsignierte Treiber auf einem Druckserver zu installieren, überschreibt aber nicht die Point-and-Print-Gruppenrichtlinieneinstellungen."

Die Überschreibung funktioniert also nur in eine Richtung. Solange der Wert 1 ist, kann eine nachlässige Point-and-Print-Richtlinie die Treiberinstallation nicht wieder öffnen. In dem Moment, in dem jemand ihn auf 0 setzt — und KB5005652 beschreibt explizit, dass Administratoren genau das tun, „um Nicht-Administratoren die Installation und Aktualisierung von Treibern zu ermöglichen" — wird die Point-and-Print-Restrictions-GPO zur einzigen Barriere zwischen einem gewöhnlichen Benutzer und einem als SYSTEM installierten Treiber.

Microsofts Zusammenfassung dieses Trade-offs ist ein Satz, der in KB5005652 zweimal wiederholt wird: „Es gibt keine Kombination von Abhilfemaßnahmen, die dem Setzen von RestrictDriverInstallationToAdministrators auf 1 gleichkommt."

Der Standardwert kippte, und Updates erzwingen ihn nicht

Zwei Daten sind hier relevant, beide aus KB5005652:

• Updates ab 6. Juli 2021 lieferten einen Standardwert von 0 (deaktiviert) für RestrictDriverInstallationToAdministrators.
• Updates ab 10. August 2021 lieferten einen Standardwert von 1 (aktiviert).

Das ist die gute Nachricht. Der Haken steht im selben Artikel: „Windows-Updates setzen oder ändern den Registrierungsschlüssel nicht." Ein Gerät, auf dem im Juli oder August 2021 explizit 0 gesetzt wurde — durch ein Skript, eine Baseline oder ein GPP-Registry-Item, das geschrieben wurde, um das Drucken freizuschalten — behält dieses 0 durch jedes nachfolgende kumulative Update hindurch, auf unbestimmte Zeit. Der Standardwert schützt nur Hosts, auf denen niemand den Wert geschrieben hat.

Die Angriffskette

Der verwundbare Pfad ist der Treiberinstallationspfad, nicht der Druckpfad. KB5005010 zieht die Grenze explizit: Die Fixes „wirken sich nicht direkt auf das Standard-Point-and-Print-Treiberinstallationsszenario für ein Client-Gerät aus, das sich mit einem freigegebenen Netzwerkdrucker verbindet und einen Treiber dafür installiert... Dieses Szenario unterscheidet sich von dem verwundbaren Szenario, in dem ein Angreifer versucht, einen bösartigen Treiber auf dem Druckserver selbst zu installieren, entweder lokal oder remote."

Schritt 1 – Einen Host finden, dessen Spooler Treiberinstallationen annimmt

Jeder Windows-Host, auf dem spoolsv.exe läuft, ist ein Kandidat — nicht nur Druckserver und nicht nur DCs. Microsofts eigene FAQ bestätigt, dass Mitgliedsserver und Clients betroffen sind. Ein Angreifer mit beliebigen Domänen-Anmeldedaten enumeriert Hosts, auf denen der Spooler erreichbar ist — was in einer standardkonfigurierten Workstation-Flotte die meisten sind. Beachten Sie den CVSS-Vektor: PR:L, niedrige Rechte erforderlich. Ein Standardbenutzerkonto genügt.

Schritt 2 – Prüfen, ob die Eingabeaufforderungen fehlen

Wenn beim Ziel RestrictDriverInstallationToAdministrators = 0 und NoWarningNoElevationOnInstall = 1 gesetzt sind, läuft die Treiberinstallation ohne Elevation-Prompt durch. Das sind genau die beiden Werte, die KB5005010 zur Bestätigung anweist, und genau der Zustand, den MSRC als by design verwundbar beschreibt.

Schritt 3 – Den Treiber installieren

Der Spooler-Dienst „führt privilegierte Dateioperationen unsachgemäß aus" (MSRC-Beschreibung zu CVE-2021-34527). Ein über diesen Pfad installierter Treiber wird im Kontext des Spoolers ausgeführt. Laut derselben MSRC-Beschreibung könnte ein Angreifer „beliebigen Code mit SYSTEM-Rechten ausführen... Programme installieren; Daten anzeigen, ändern oder löschen; oder neue Konten mit vollen Benutzerrechten erstellen."

Schritt 4 – Lokales SYSTEM in Domänen-Reichweite verwandeln

SYSTEM auf einer Workstation ist der Anfang einer Lateral-Movement-Kette, nicht das Ende eines Vorfalls — sie einzudämmen ist genau die Aufgabe einer Tier-Grenze, die tatsächlich hält. Deshalb ist die reine DC-Remediation so irreführend: Ein Angreifer braucht nicht den Spooler Ihres Domänencontrollers, wenn jeder Laptop in der Flotte jedem authentifizierten Benutzer SYSTEM gewährt. Die delegierten Gruppen, denen das Drucken früher gehörte, lohnt es sich zur gleichen Zeit zu prüfen — vor den Updates vom Juli 2021 konnte laut KB5005010 „die Sicherheitsgruppe der Druck-Operatoren sowohl signierte als auch unsignierte Druckertreiber auf einem Druckserver installieren", und diese Operator-Gruppen tragen stehende Privilegien, die niemand überprüft.

🚨 Gefahr: Der Spooler produzierte auch nach dem Juli-Fix weiter kritische Bugs. Allein im August 2021 kamen CVE-2021-36936 (Kritisch, CVSS 8,8, öffentlich bekannt) und CVE-2021-36958 (Wichtig, CVSS 7,8, öffentlich bekannt) hinzu. Behandeln Sie den Spooler als Angriffsfläche, die es zu entfernen gilt, wo immer möglich — nicht als Komponente, die man patcht und vergisst.

Die GPO, die ihn stillschweigend wieder öffnet

Hier kommt der Teil, der ein gelöstes Problem wieder in ein aktives verwandelt, und er ist nicht hypothetisch — er steht in Microsofts eigener aktueller Dokumentation.

Microsoft Learn veröffentlicht einen Troubleshooting-Artikel, „Point and Print Restrictions policies are ignored in Windows" (ursprünglich KB 2307161), für ein vertrautes operatives Symptom: „Sie wenden die Point-and-Print-Restrictions-Richtlinien an. Ein Standardbenutzer versucht, einen Netzwerkdrucker zu installieren. In diesem Szenario werden die Point-and-Print-Restrictions-Richtlinien ignoriert, und der Benutzer wird nach Administrator-Anmeldedaten gefragt."

Die genannte Ursache ist für sich genommen ein nützlicher Befund: „Windows ignoriert die Point-and-Print-Restrictions-Richtlinien, wenn sie im Benutzerrichtlinienkontext implementiert sind." Die Richtlinie zog um von User Configuration\Policies\Administrative Templates\Control Panel\Printers nach Computer Configuration\Policies\Administrative Templates\Printers. Wenn Ihr Audit den benutzerseitigen Speicherort liest, lesen Sie eine Einstellung, die Windows verwirft.

Aber lesen Sie die Behebungsschritte. Unter „So erlauben Sie Benutzern, sich nur mit bestimmten, vertrauenswürdigen Druckservern zu verbinden" weist der Artikel an: „Wählen Sie im Feld Beim Installieren von Treibern für eine neue Verbindung die Option Keine Warnung oder Elevation-Eingabeaufforderung anzeigen." Und die abschließende Anmerkung geht noch weiter: „Sie können die Warnmeldungen und Elevation-Eingabeaufforderungen für die Treiberinstallation deaktivieren, indem Sie die Point-and-Print-Restrictions-Richtlinien vollständig deaktivieren. Diese Aktion deaktiviert die verbesserte Sicherheit der Druckertreiberinstallation."

Diese Anleitung ist das Spiegelbild von KB5005010, das dazu anweist, beide Prompt-Felder auf „Warnung und Elevation-Eingabeaufforderung anzeigen" zu setzen, sodass die Bestätigungswerte NoWarningNoElevationOnInstall = 0 und UpdatePromptSettings = 0 lauten. Eine Microsoft-Seite härtet die Prompts; eine andere, die immer noch ein Revisionsdatum aus 2026 trägt, führt einen Administrator genau durch das Abschalten, damit die Druckerbereitstellung funktioniert.

Niemand muss dafür böswillig handeln. Ein Helpdesk-Ticket meldet, dass Benutzer den Drucker im dritten Stock nicht hinzufügen können. Jemand findet den Troubleshooting-Artikel, setzt den Prompt auf „Keine Warnung oder Elevation-Eingabeaufforderung anzeigen" und verknüpft die GPO. Drucken funktioniert. Sechs Monate später ist die Flotte wieder in dem Zustand, den MSRC als by design verwundbar bezeichnet, und kein Patch-Zyklus wird das je markieren — weil die Hosts vollständig gepatcht sind. Das ist dieselbe Art von Drift, die GPO-Fehlkonfigurationen zu einem so beständigen Angriffsvektor macht.

KB5005010s Urteil über den kombinierten Zustand lässt keinen Interpretationsspielraum: Wenn die Registry-Werte 0/undefiniert sind und die Point-and-Print-Restrictions-GPO nicht konfiguriert ist, „dann sind Sie nicht von CVE-2021-34527 betroffen, und keine weitere Aktion ist erforderlich. Wenn eine der beiden Bedingungen nicht zutrifft, sind Sie verwundbar."

Erkennung

Die Erkennung hat hier zwei Hälften: den Ausnutzungsversuch im Event-Log erfassen und die Konfigurationsdrift erfassen, bevor jemand es versucht.

Event-Log-Erkennung

Die Analyse des Splunk Threat Research Team, I Pity the Spool: Detecting PrintNightmare CVE-2021-34527, dokumentiert die Kanäle und Event-IDs, die es zu erfassen lohnt:

Der operative Haken ist, in Splunks eigenen Worten, dass „Print-Service-Logs standardmäßig möglicherweise nicht aktiviert sind." Ein Alert, den Sie nie geschrieben haben, weil der Kanal leer war, ist keine Erkennung. Prüfen und aktivieren Sie den Kanal — /e:<Enabled> bei wevtutil set-log „aktiviert oder deaktiviert ein Log", laut der wevtutil-Referenz:

wevtutil gl Microsoft-Windows-PrintService/Operational
wevtutil sl Microsoft-Windows-PrintService/Operational /e:true

Wenn Sie Ihre Log-Abdeckung breiter aufbauen, gilt dieselbe Überlegung für jeden Kanal, den Ihre Erkennungen voraussetzen — siehe die Audit-Policy-Kategorien, die niemand aktiviert, bevor er die Logs braucht und die AD-Sicherheits-Event-IDs, auf die es wirklich ankommt.

Konfigurations-Erkennung

Das ist die ertragreichere Hälfte, weil sie die Exposition findet, nicht die Ausnutzung. Lesen Sie die drei Werte auf jedem Host. Das Fehlen des Schlüssels ist der sichere Zustand bei Updates ab dem 10. August 2021, daher ist eine leere Rückgabe mit -ErrorAction SilentlyContinue ein Bestehen, kein Fehler:

$key = 'HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint'
Get-ItemProperty -Path $key -ErrorAction SilentlyContinue |
    Select-Object RestrictDriverInstallationToAdministrators,
                  NoWarningNoElevationOnInstall,
                  UpdatePromptSettings

Markieren Sie einen Host, wenn RestrictDriverInstallationToAdministrators 0 ist, oder wenn NoWarningNoElevationOnInstall oder UpdatePromptSettings ungleich null ist. Führen Sie es gegen Workstations und Mitgliedsserver aus, nicht nur gegen Druckserver und DCs — genau dieser Scoping-Fehler ist das ganze Thema dieses Artikels.

Prüfen Sie separat, ob der Spooler überhaupt läuft. Das ist Microsofts eigener erster Schritt im Workaround zu CVE-2021-34527:

Get-Service -Name Spooler

Auf Domänencontrollern speziell ist ein laufender Spooler ein eigenständiger Befund, unabhängig von der Treiberinstallations-Richtlinie — abgedeckt in unserer Checkliste zur Netzwerkhygiene von Domänencontrollern.

Remediation

1. RestrictDriverInstallationToAdministrators überall auf 1 setzen. Das ist die stärkste einzelne Kontrolle, und diejenige, die alles andere überschreibt. Der folgende Befehl ist wörtlich aus KB5005652 zitiert und muss aus einer erhöhten Eingabeaufforderung ausgeführt werden:

reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint" /v RestrictDriverInstallationToAdministrators /t REG_DWORD /d 1 /f

2. Für Flottengröße den Gruppenrichtlinien-Weg bevorzugen. Nach der Installation von Updates ab dem 12. Oktober 2021 dokumentiert KB5005652 eine native Richtlinie: Gehen Sie zu Computer Configuration > Administrative Templates > Printers und setzen Sie Limits print driver installation to Administrators auf „Aktiviert". Microsoft erklärt, dass dies „den Registry-Wert von RestrictDriverInstallationToAdministrators auf 1 setzt."

3. Die Point-and-Print-Restrictions-Richtlinie im Computer-Scope korrigieren. Laut KB5005010 setzen Sie in Computer Configuration > Administrative Templates > Printers Point and Print Restrictions auf „Aktiviert" und dann sowohl When installing drivers for a new connection als auch When updating drivers for an existing connection auf „Warnung und Elevation-Eingabeaufforderung anzeigen". Prüfen Sie anschließend, dass NoWarningNoElevationOnInstall = 0 und UpdatePromptSettings = 0 sind. Diese Konfiguration „deaktiviert die Point-and-Print-Funktion nicht" — Drucken funktioniert weiterhin.

4. Die Falle im Benutzer-Scope prüfen. Da Windows diese Richtlinien im Benutzerrichtlinienkontext ignoriert, prüfen Sie, ob eine ältere GPO sie noch unter User Configuration\Policies\Administrative Templates\Control Panel\Printers setzt und Ihnen so eine falsche Sicherheit vorgaukelt.

5. Wenn Sie den Standardwert wirklich nicht verwenden können, schichten Sie die partiellen Abhilfemaßnahmen — und wissen Sie, dass sie partiell sind. KB5005652 listet sie für Umgebungen auf, die mit RestrictDriverInstallationToAdministrators = 0 laufen müssen, und wiederholt dabei, dass keine Kombination dem Setzen auf 1 gleichkommt:

• Prüfen Sie, dass RpcAuthnLevelPrivacyEnabled 1 oder nicht definiert ist unter HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Print. Dies ist der Enforcement-Modus für CVE-2021-1678, dokumentiert in KB4599464; dessen Enforcement-Phase begann am 14. September 2021, und ein Wert von 0 wird dokumentiert als „Nicht empfohlen... Ihre Geräte sind nicht geschützt."
• Aktivieren Sie Users can only point and print to these servers in der Point-and-Print-Restrictions-Richtlinie und listen Sie vertrauenswürdige Druckserver mit vollqualifiziertem Namen auf, getrennt durch Semikolons.
• Aktivieren Sie Package Point and Print - Approved servers, um Clients auf paketbewusste Treiber von benannten Servern zu beschränken.

6. Den Spooler entfernen, wo er nicht gebraucht wird. MSRCs Workaround für CVE-2021-34527 bleibt gültig, und auf einem Domänencontroller ist die Antwort meist, den Dienst ganz zu entfernen:

Stop-Service -Name Spooler -Force
Set-Service -Name Spooler -StartupType Disabled

Wenn Sie lokales Drucken benötigen, aber kein eingehendes Print-Serving, ist MSRCs Option 2, die Richtlinie „Allow Print Spooler to accept client connections" unter Computer Configuration / Administrative Templates / Printers zu deaktivieren. Anders als bei den Registry-Änderungen oben „müssen Sie den Print-Spooler-Dienst neu starten, damit die Gruppenrichtlinie wirksam wird."

Wo dies in einer breiteren Remediation-Warteschlange steht, behandelt unser Leitfaden dazu, was in Active Directory zuerst gesperrt werden sollte und wie man das validiert, sowie die umfassendere Anleitung, wie man die Sicherheit von Active Directory auditiert und die Remediation nachweist.

Wie EtcSec das erkennt

EtcSec prüft diese Konfiguration als drei separate Befunde, weil sie unabhängig voneinander fehlschlagen und von unterschiedlichen Teams behoben werden.

PRINTNIGHTMARE_VULNERABLE (Kritisch) bewertet, ob der Elevation-Prompt GPO-weit deaktiviert ist — der Zustand von NoWarningNoElevationOnInstall — statt sich nur auf den Patch-Stand zu verlassen. PA038_POINT_AND_PRINT_ELEVATION_OFF (Hoch) liest denselben Registry-Wert durch die ANSSI-PA-038-Compliance-Linse: Er schlägt fehl, wenn keine GPO im Geltungsbereich die Elevation erzwingt, und markiert genau die Konfiguration, die MSRC als by design verwundbar beschreibt. DC_SPOOLER_ACCESSIBLE (Hoch) deckt das engere, bekanntere Problem eines noch laufenden Print Spoolers auf einem Domänencontroller ab.

Der Grund, warum alle drei existieren, ist die Lücke, mit der dieser Artikel begonnen hat. Eine Umgebung kann die DC-Prüfung bestehen und bei den anderen beiden durchfallen — Spooler auf vier Domänencontrollern gestoppt, Elevation-Prompts auf viertausend Workstations deaktiviert. Der etc-collector liest die effektiven Werte aus dem Computer-Configuration-Scope (Machine\Registry.pol) auf jedem Host im Geltungsbereich, sodass eine Richtlinie, die Windows im Benutzerkontext stillschweigend ignoriert, nicht als konform gelesen wird.

Quellen

Jede technische Aussage oben stammt aus den folgenden Quellen, jede gegen die Live-Quelle verifiziert:

• MSRC Security Update Guide, CVE-2021-34527 (CVRF-API, Juli 2021) — Schweregrad, CVSS-Vektor, Ausnutzbarkeit, Registry-Anleitung, Geltungsbereich für DCs und Mitgliedsserver, Workarounds
• MSRC Security Update Guide, CVE-2021-1675 (Juni 2021), CVE-2021-34481, CVE-2021-36936 und CVE-2021-36958 (August 2021)
• KB5005010: Restricting installation of new printer drivers after applying the July 6, 2021 updates
• KB5005652: Manage new Point and Print default driver installation behavior (CVE-2021-34481)
• KB4599464: Managing deployment of Printer RPC binding changes for CVE-2021-1678
• Microsoft Learn: Point and Print Restrictions policies are ignored in Windows (KB 2307161)
• Microsoft Learn: wevtutil command reference
• CISA Known Exploited Vulnerabilities Catalog (Katalogversion 2026.08.18)
• Splunk Threat Research Team: I Pity the Spool: Detecting PrintNightmare CVE-2021-34527