KB5005652— Διαχείριση νέας συμπεριφοράς της εγκατάστασης του προεπιλεγμένου προγράμματος οδήγησης Point και Print (CVE-2021-34481)

Σύνοψη

Windows ενημερώσεις που κυκλοφόρησαν στις 10 Αυγούστου 2021 και τις νεότερες εκδόσεις θα απαιτούν, από προεπιλογή, δικαιώματα διαχειριστή για την εγκατάσταση προγραμμάτων οδήγησης. Πραγματοποιήσαμε αυτήν την αλλαγή σε προεπιλεγμένη συμπεριφορά για την αντιμετώπιση του κινδύνου σε όλες τις συσκευές Windows, συμπεριλαμβανομένων των συσκευών που δεν χρησιμοποιούν λειτουργίες σημείων και εκτύπωσης ή εκτύπωσης. Για περισσότερες πληροφορίες, ανατρέξτε στα θέματα Αλλαγή προεπιλεγμένης συμπεριφοράς σημείων και εκτύπωσης και CVE-2021-34481.

Από προεπιλογή, οι χρήστες που δεν είναι διαχειριστές δεν θα μπορούν πλέον να κάνουν τα εξής χρησιμοποιώντας τις επιλογές Point και Print χωρίς αναβαθμισμένα δικαιώματα στο διαχειριστή:

Εγκατάσταση νέων εκτυπωτών με τη χρήση προγραμμάτων οδήγησης σε απομακρυσμένο υπολογιστή ή διακομιστή
Ενημέρωση υπαρχόντων προγραμμάτων οδήγησης εκτυπωτή με τη χρήση προγραμμάτων οδήγησης από απομακρυσμένο υπολογιστή ή διακομιστή

Σημείωση Εάν δεν χρησιμοποιείτε τις επιλογές "Σημείο" και "Εκτύπωση", δεν θα πρέπει να επηρεάζεστε από αυτή την αλλαγή και θα προστατεύεστε από προεπιλογή μετά την εγκατάσταση των ενημερώσεων που κυκλοφόρησαν στις 10 Αυγούστου 2021 ή σε νεότερες εκδόσεις.

Σημαντικό Η εκτύπωση προγραμμάτων-πελατών στο περιβάλλον σας πρέπει να έχει μια ενημέρωση που κυκλοφόρησε στις 12 Ιανουαρίου 2021 ή νεότερη έκδοση πριν από την εγκατάσταση των ενημερώσεων που κυκλοφόρησαν στις 14 Σεπτεμβρίου 2021. Ανατρέξτε στην ενότητα Τρ2 στις "Συνήθεις ερωτήσεις" παρακάτω για περισσότερες πληροφορίες.

Τροποποίηση της συμπεριφοράς εγκατάστασης του προεπιλεγμένου προγράμματος οδήγησης με χρήση κλειδιού μητρώου

Μπορείτε να τροποποιήσετε αυτή την προεπιλεγμένη συμπεριφορά χρησιμοποιώντας το κλειδί μητρώου στον παρακάτω πίνακα. Ωστόσο, να είστε πολύ προσεκτικοί κατά τη χρήση μιας τιμής μηδέν (0), επειδή αυτή η ενέργεια κάνει τις συσκευές ευάλωτες. Εάν πρέπει να χρησιμοποιήσετε την τιμή μητρώου 0 στο περιβάλλον σας, συνιστάται να τη χρησιμοποιήσετε προσωρινά κατά την προσαρμογή του περιβάλλοντός σας, ώστε Windows συσκευές να χρησιμοποιούν την τιμή μίας (1).

Θέση μητρώου	HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint
Όνομα DWord	RestrictDriverInstallationToAdmini παρανόηση
Τιμή δεδομένων	Προεπιλεγμένη συμπεριφορά: Ο ορισμός αυτής της τιμής σε 1 ή εάν το κλειδί δεν έχει οριστεί ή δεν υπάρχει, θα απαιτήσει δικαιώματα διαχειριστή για την εγκατάσταση οποιουδήποτε προγράμματος οδήγησης εκτυπωτή κατά τη χρήση των σημείων και της εκτύπωσης. Αυτό το κλειδί μητρώου θα παρακάμψει όλες τις ρυθμίσεις πολιτικής ομάδας περιορισμών σημείων και εκτύπωσης και εξασφαλίζει ότι μόνο οι διαχειριστές μπορούν να εγκαταστήσουν προγράμματα οδήγησης εκτυπωτών από ένα διακομιστή εκτύπωσης χρησιμοποιώντας τις επιλογές Point και Print. Ο ορισμός της τιμής σε 0 επιτρέπει σε μη διαχειριστές να εγκαθιστούν υπογεγραμμένα και μη υπογεγραμμένα προγράμματα οδήγησης σε ένα διακομιστή εκτύπωσης, αλλά δεν παρακάμπτει τις ρυθμίσεις πολιτικής ομάδας σημείων και εκτύπωσης. Συνεπώς, οι ρυθμίσεις πολιτικής ομάδας περιορισμών σημείων και εκτύπωσης μπορούν να παρακάμψουν αυτήν τη ρύθμιση κλειδιού μητρώου ώστε να μην είναι δυνατή η εγκατάσταση προγραμμάτων οδήγησης εκτύπωσης με υπογραφή και μη υπογεγραμμένων προγραμμάτων οδήγησης εκτύπωσης από ένα διακομιστή εκτύπωσης. Ορισμένοι διαχειριστές μπορεί να ορίσουν την τιμή σε 0, ώστε να επιτρέπεται σε χρήστες που δεν είναι διαχειριστές να εγκαθιστούν και να ενημερώνουν προγράμματα οδήγησης μετά την προσθήκη πρόσθετων περιορισμών, συμπεριλαμβανομένης της προσθήκης μιας ρύθμισης πολιτικής που περιορίζει τη δυνατότητα εγκατάστασης προγραμμάτων οδήγησης. Σημαντικό Δεν υπάρχει συνδυασμός μετριασμών που είναι ισοδύναμος με τη ρύθμιση RestrictDriverInstallationToAdmini παραγοντών σε 1. Σημείωση Οι ενημερώσεις που κυκλοφόρησαν στις 6 Ιουλίου 2021 ή νεότερη έκδοση έχουν προεπιλογή 0 (απενεργοποιημένες) μέχρι την εγκατάσταση των ενημερώσεων που κυκλοφόρησαν στις 10 Αυγούστου 2021 ή νεότερη έκδοση. Οι ενημερώσεις που κυκλοφόρησαν στις 10 Αυγούστου 2021 ή νεότερη έκδοση έχουν προεπιλογή 1 (ενεργοποιημένη).
Απαιτήσεις επανεκκίνησης	Δεν απαιτείται επανεκκίνηση κατά τη δημιουργία ή την τροποποίηση αυτής της τιμής μητρώου.

Σημείωση Windows ενημερώσεις δεν θα ορίσουν ή θα αλλάξουν το κλειδί μητρώου. Μπορείτε να ορίσετε το κλειδί μητρώου πριν ή μετά την εγκατάσταση των ενημερώσεων που κυκλοφόρησαν στις 10 Αυγούστου 2021 ή σε νεότερες εκδόσεις.

Αυτοματοποίηση της προσθήκης της τιμής μητρώου RestrictDriverInstallationToAdmini παραγοντών

Για να αυτοματοποιήσετε την προσθήκη της τιμής μητρώου RestrictDriverInstallationToAdminiwithors, ακολουθήστε τα παρακάτω βήματα:

Ανοίξτε ένα παράθυρο γραμμής εντολών (cmd.exe) με αναβαθμισμένες άδειες.
Πληκτρολογήστε την παρακάτω εντολή και, στη συνέχεια, πατήστε το πλήκτρο Enter:

reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\Printers\PointAndPrint" /v RestrictDriverInstallationToAdminiwithors /t REG_DWORD /d 1 /f

Ορισμός restrictDriverInstallationToAdmini εκκίνησης χρησιμοποιώντας την πολιτική ομάδας

Μετά την εγκατάσταση των ενημερώσεων που κυκλοφόρησαν στις 12 Οκτωβρίου 2021 ή σε νεότερες εκδόσεις, μπορείτε επίσης να ορίσετε restrictDriverInstallationToAdmini επιδιορθώσεις χρησιμοποιώντας μια πολιτική ομάδας, ακολουθώντας τις ακόλουθες οδηγίες:

Ανοίξτε το εργαλείο επεξεργασίας πολιτικής ομάδας και μεταβείτε στην επιλογή Ρύθμιση παραμέτρων υπολογιστή > Πρότυπα διαχείρισης > εκτυπωτές.
Ορίστε τη ρύθμιση Περιορισμός εγκατάστασης προγράμματος οδήγησης εκτύπωσης σε Διαχειριστές σε "Ενεργοποιημένο". Αυτό θα ορίσει την τιμή μητρώου του RestrictDriverInstallationToAdminiwithors σε 1.

Εγκατάσταση προγραμμάτων οδήγησης εκτύπωσης όταν επιβάλλεται η νέα προεπιλεγμένη ρύθμιση

Εάν έχετε ορίσει τη ρύθμιση RestrictDriverInstallationToAdmini printerors όπως δεν έχει οριστεί ή 1, ανάλογα με το περιβάλλον σας, οι χρήστες πρέπει να χρησιμοποιήσουν μία από τις παρακάτω μεθόδους για να εγκαταστήσουν εκτυπωτές:

Δώστε όνομα χρήστη και κωδικό πρόσβασης διαχειριστή όταν σας ζητούνται διαπιστευτήρια όταν προσπαθείτε να εγκαταστήσετε ένα πρόγραμμα οδήγησης εκτυπωτή.
Συμπεριλάβετε τα απαραίτητα προγράμματα οδήγησης εκτυπωτή στην εικόνα του λειτουργικού συστήματος.
Να ορίσετε προσωρινά τη ρύθμιση RestrictDriverInstallationToAdmini printerors σε 0 για την εγκατάσταση προγραμμάτων οδήγησης εκτυπωτών.

Σημείωση Εάν δεν μπορείτε να εγκαταστήσετε προγράμματα οδήγησης εκτυπωτών, ακόμα και με δικαιώματα διαχειριστή, πρέπει να απενεργοποιήσετε τις επιλογές Χρήση μόνο σημείου πακέτου και Πολιτική ομάδας εκτύπωσης.

Προτεινόμενες ρυθμίσεις και μετριασμοί για περιβάλλοντα που δεν μπορούν να χρησιμοποιήσουν την προεπιλεγμένη συμπεριφορά

Οι παρακάτω μετριασμοί μπορούν να βοηθήσουν στην ασφάλεια όλων των περιβαλλόντων, αλλά ιδίως εάν πρέπει να ορίσετε τη ρύθμιση RestrictDriverInstallationToAdmini ors σε 0. Αυτοί οι μετριασμόι δεν αντιμετωπίζουν πλήρως τα θέματα ευπάθειας στο CVE-2021-34481.

Σημαντικό Δεν υπάρχει συνδυασμός μετριασμών που είναι ισοδύναμος με τη ρύθμιση RestrictDriverInstallationToAdmini παραγοντών σε 1.

Βεβαιωθείτε ότι η ρύθμιση RpcAutedLevelPrivacyEnabled έχει οριστεί σε 1 ή δεν έχει οριστεί

Βεβαιωθείτε ότι η ρύθμιση RpcAutedLevelPrivacyEnabled έχει οριστεί σε 1 ή δεν έχει οριστεί όπως περιγράφεται στο θέμα Διαχείριση ανάπτυξης δεσμευτικών αλλαγών RPC εκτυπωτή για το CVE-2021-1678 (KB4599464).

Βεβαιωθείτε ότι οι οδηγίες ασφαλείας είναι ενεργοποιημένες για τις επιλογές "Σημείο" και "Εκτύπωση"

Βεβαιωθείτε ότι οι οδηγίες ασφαλείας είναι ενεργοποιημένες για τις επιλογές "Σημείο" και "Εκτύπωση", όπως περιγράφεται στο άρθρο KB5005010: Περιορισμός εγκατάστασης νέων προγραμμάτων οδήγησης εκτυπωτή μετά την εφαρμογή των ενημερώσεων της 6ης Ιουλίου 2021.

Να επιτρέπεται στους χρήστες να συνδέονται μόνο σε συγκεκριμένους διακομιστές εκτύπωσης που εμπιστεύεστε

Αυτή η πολιτική, περιορισμοί σημείων και εκτύπωσης, ισχύει για εκτυπωτές σημείου και εκτύπωσης με ένα πρόγραμμα οδήγησης που δεν έχει επίγνωση πακέτου στο διακομιστή.

Ακολουθήστε τα παρακάτω βήματα:

Ανοίξτε την Κονσόλα διαχείρισης πολιτικής ομάδας (GPMC).
Στο δέντρο κονσόλας GPMC, μεταβείτε στον τομέα ή την εταιρική μονάδα (OU) όπου αποθηκεύονται οι λογαριασμοί χρηστών για τους οποίους θέλετε να τροποποιήσετε τις ρυθμίσεις ασφαλείας του προγράμματος οδήγησης του εκτυπωτή.
Κάντε δεξί κλικ στον κατάλληλο τομέα ή OU και κάντε κλικ στην επιλογή Δημιουργία αντικειμένου GPO σε αυτόν τον τομέα και συνδέστε το εδώ.Πληκτρολογήστε ένα όνομα για το νέο αντικείμενο πολιτικής ομάδας (GPO) και, στη συνέχεια, κάντε κλικ στο κουμπί OK.
Κάντε δεξί κλικ στο αντικείμενο αντικείμενο ομάδας (GPO) που δημιουργήσατε και, στη συνέχεια, κάντε κλικ στην εντολή Επεξεργασία.
Στο παράθυρο Πρόγραμμα επεξεργασίας διαχείρισης πολιτικής ομάδας, κάντε κλικ στην επιλογή Ρύθμιση παραμέτρων υπολογιστή, επιλέξτε Πολιτικές, Πρότυπα διαχείρισης και, στη συνέχεια, εκτυπωτές.
Κάντε δεξί κλικ στην επιλογή Περιορισμοί σημείων και εκτύπωσης και, στη συνέχεια, κάντε κλικ στην επιλογή Επεξεργασία.
Στο παράθυρο διαλόγου Περιορισμοί σημείων και εκτύπωσης , κάντε κλικ στην επιλογή Ενεργοποίηση.
Επιλέξτε το πλαίσιο ελέγχου Οι χρήστες μπορούν να κατευθύνουν και να εκτυπώσουν σε αυτούς τους διακομιστές μόνο εάν δεν είναι ήδη επιλεγμένο.
Εισαγάγετε τα πλήρως προσδιορισμένα ονόματα διακομιστών. Διαχωρίστε κάθε όνομα χρησιμοποιώντας ελληνικό ερωτηματικό (;).

Σημείωση Μετά την εγκατάσταση των ενημερώσεων που κυκλοφόρησαν στις 21 Σεπτεμβρίου 2021 ή σε νεότερες εκδόσεις, μπορείτε να ρυθμίσετε τις παραμέτρους αυτής της πολιτικής ομάδας με τελεία ή τελεία (.) οριοθετημένες διευθύνσεις IP εναλλάξ με πλήρως προσδιορισμένα ονόματα κεντρικών υπολογιστών.
Στο πλαίσιο Κατά την εγκατάσταση προγραμμάτων οδήγησης για μια νέα σύνδεση , επιλέξτε Εμφάνιση προειδοποίησης και ειδοποίησης με αναβαθμισμένη ειδοποίηση.
Στο πλαίσιο Κατά την ενημέρωση προγραμμάτων οδήγησης για μια υπάρχουσα σύνδεση , επιλέξτε Εμφάνιση προειδοποίησης και ερώτησης με αυξημένα δικαιώματα.
Κάντε κλικ στο κουμπί OK.

Επιτρέψτε στους χρήστες να συνδέονται μόνο σε συγκεκριμένους διακομιστές Package Point και Print που εμπιστεύεστε

Αυτή η πολιτική, Οι διακομιστές Σημείου πακέτου και Εκτύπωση - Εγκεκριμένοι διακομιστές, θα περιορίζουν τη συμπεριφορά του προγράμματος-πελάτη ώστε να επιτρέπονται μόνο συνδέσεις σημείου και εκτύπωσης σε καθορισμένους διακομιστές που χρησιμοποιούν προγράμματα οδήγησης με επίγνωση πακέτου.

Ακολουθήστε τα παρακάτω βήματα:

Στον ελεγκτή τομέα, επιλέξτε Έναρξη, επιλέξτε Εργαλεία διαχείρισης και, στη συνέχεια, επιλέξτε Διαχείριση πολιτικής ομάδας. Εναλλακτικά, επιλέξτε Έναρξη, επιλέξτεΕκτέλεση, πληκτρολογήστε GPMC.MSC και, στη συνέχεια, πατήστε το πλήκτρο Enter.
Αναπτύξτε το δάσος και, στη συνέχεια, αναπτύξτε τους τομείς.
Κάτω από τον τομέα σας, επιλέξτε την OU στην οποία θέλετε να δημιουργήσετε αυτή την πολιτική.
Κάντε δεξί κλικ στην OU και, στη συνέχεια, επιλέξτε Δημιουργία αντικειμένου GPO σε αυτόν τον τομέα και συνδέστε το εδώ.
Δώστε ένα όνομα στο αντικείμενο αντικείμενο ομάδας (GPO) και, στη συνέχεια, επιλέξτε OK.
Κάντε δεξί κλικ στο αντικείμενο πολιτικής ομάδας που μόλις δημιουργήσατε και, στη συνέχεια, επιλέξτε Επεξεργασία για να ανοίξετε το Πρόγραμμα επεξεργασίας διαχείρισης πολιτικής ομάδας.
Στο Πρόγραμμα επεξεργασίας διαχείρισης πολιτικής ομάδας, αναπτύξτε τους παρακάτω φακέλους:
1. Ρύθμιση παραμέτρων υπολογιστή
2. Πολιτικές
3. Πρότυπα διαχείρισης
4. Τοπικές πολιτικές υπολογιστών
5. Εκτυπωτές
Ενεργοποίηση σημείου πακέτου και εκτύπωση - Εγκεκριμένοι διακομιστές και επιλέξτε το κουμπί Εμφάνιση... .
Εισαγάγετε τα πλήρως προσδιορισμένα ονόματα διακομιστών. Διαχωρίστε κάθε όνομα χρησιμοποιώντας ελληνικό ερωτηματικό (;).

Σημείωση Μετά την εγκατάσταση των ενημερώσεων που κυκλοφόρησαν στις 21 Σεπτεμβρίου 2021 ή σε νεότερες εκδόσεις, μπορείτε να ρυθμίσετε τις παραμέτρους αυτής της πολιτικής ομάδας με τελεία ή τελεία (.) οριοθετημένες διευθύνσεις IP εναλλάξ με πλήρως προσδιορισμένα ονόματα κεντρικών υπολογιστών.

Συνήθεις ερωτήσεις

Ε1: Κάθε φορά που επιχειρού να εκτυπώσω, εμφανίζεται ένα μήνυμα που αναφέρει "Εμπιστεύεστε αυτόν τον εκτυπωτή" και απαιτείται να συνεχιστούν τα διαπιστευτήρια διαχειριστή. Είναι αυτό αναμενόμενο;

A1:Δεν αναμένεται να ζητείται κάθε εργασία εκτύπωσης. Τα περισσότερα περιβάλλοντα ή συσκευές που αντιμετωπίζουν αυτό το πρόβλημα θα επιλυθούν με την εγκατάσταση ενημερώσεων που κυκλοφόρησαν στις 12 Οκτωβρίου 2021 ή σε νεότερες εκδόσεις. Αυτές οι ενημερώσεις αντιμετωπίζουν ένα πρόβλημα που σχετίζεται με την εκτύπωση διακομιστών και την εκτύπωση υπολογιστών-πελατών που δεν βρίσκονται στην ίδια ζώνη ώρας.

Εάν εξακολουθείτε να αντιμετωπίζετε αυτό το πρόβλημα μετά την εγκατάσταση ενημερώσεων που κυκλοφόρησαν στις 12 Οκτωβρίου 2021 ή νεότερη έκδοση, ίσως χρειαστεί να επικοινωνήσετε με τον κατασκευαστή του εκτυπωτή για τα ενημερωμένα προγράμματα οδήγησης. Αυτό το πρόβλημα ενδέχεται επίσης να προκύψει όταν ένα πρόγραμμα οδήγησης εκτύπωσης στο πρόγραμμα-πελάτη εκτύπωσης και ο διακομιστής εκτύπωσης χρησιμοποιούν το ίδιο όνομα αρχείου, αλλά ο διακομιστής έχει μια νεότερη έκδοση του αρχείου προγράμματος οδήγησης. Όταν το πρόγραμμα-πελάτης εκτύπωσης συνδέεται με το διακομιστή εκτύπωσης, βρίσκει ένα νεότερο αρχείο προγράμματος οδήγησης και σας ζητείται να ενημερώσετε τα προγράμματα οδήγησης στο πρόγραμμα-πελάτη εκτύπωσης. Ωστόσο, το αρχείο στο πακέτο που προσφέρεται για εγκατάσταση δεν περιλαμβάνει την πιο πρόσφατη έκδοση αρχείου προγράμματος οδήγησης.

Τα αρχεία που συγκρίνονται είναι τα προγράμματα οδήγησης μέσα στο φάκελο ουράς, συνήθως στο C:\Windows\System32\spool\drivers\x64\3 τόσο στο πρόγραμμα-πελάτη εκτύπωσης όσο και στο διακομιστή εκτύπωσης. Το πακέτο προγράμματος οδήγησης που προσφέρεται για εγκατάσταση βρίσκεται συνήθως στη διαδρομή C:\Windows\System32\spool\drivers\x64\PCC στο διακομιστή εκτύπωσης. Μετά τη σύγκριση των αρχείων στο φάκελο \3 μεταξύ συσκευών, εάν δεν συμφωνούν, το πακέτο σε PCC εγκαθίσταται. Εάν τα αρχεία στο φάκελο \3 του διακομιστή εκτύπωσης δεν προέρχονται από το ίδιο πρόγραμμα οδήγησης εκτυπωτή που προσφέρει το PCC στο πρόγραμμα-πελάτη, το πρόγραμμα-πελάτης εκτύπωσης θα συγκρίνει τα αρχεία και θα βρει την ασυμφωνία κάθε φορά που εκτυπώνεται.

Για να μετριάσετε αυτό το πρόβλημα, βεβαιωθείτε ότι χρησιμοποιείτε τα πιο πρόσφατα προγράμματα οδήγησης για όλες τις συσκευές εκτύπωσης. Όπου είναι δυνατόν, χρησιμοποιήστε την ίδια έκδοση του προγράμματος οδήγησης εκτύπωσης στο πρόγραμμα-πελάτη εκτύπωσης και στο διακομιστή εκτύπωσης. Αν η ενημέρωση προγραμμάτων οδήγησης στο περιβάλλον σας δεν επιλύσει το πρόβλημα, επικοινωνήστε με την υποστήριξη του κατασκευαστή του εκτυπωτή σας (OEM).

Ε2: Εγκατέστησα ενημερώσεις που κυκλοφόρησαν στις 14 Σεπτεμβρίου 2021 και ορισμένες Windows συσκευές δεν είναι δυνατό να εκτυπωθούν σε εκτυπωτές δικτύου. Υπάρχει μια παραγγελία που χρειάζομαι για να εγκαταστήσω ενημερώσεις σε προγράμματα-πελάτες εκτύπωσης και διακομιστές εκτύπωσης;

A2: Πριν από την εγκατάσταση ενημερώσεων που κυκλοφόρησαν στις 14 Σεπτεμβρίου 2021 ή σε διακομιστές εκτύπωσης, τα προγράμματα-πελάτες εκτύπωσης πρέπει να έχουν εγκαταστήσει τις ενημερώσεις που κυκλοφόρησαν στις 12 Ιανουαρίου 2021 ή νεότερη έκδοση. Windows συσκευές δεν θα εκτυπωθούν εάν δεν έχουν εγκαταστήσει μια ενημέρωση που κυκλοφόρησε στις 12 Ιανουαρίου 2021 ή νεότερη έκδοση.

Σημείωση Δεν χρειάζεται να εγκαταστήσετε προηγούμενες ενημερώσεις και μπορείτε να εγκαταστήσετε οποιαδήποτε ενημέρωση μετά τις 12 Ιανουαρίου 2021 σε προγράμματα-πελάτες εκτύπωσης. Συνιστάται να εγκαταστήσετε την πιο πρόσφατη αθροιστική ενημέρωση τόσο στους υπολογιστές-πελάτες όσο και στους διακομιστές.