CVE詳細 - CVE-2021-34527-

CVE-2021-34527 の詳細

CVEの情報

説明:
A remote code execution vulnerability exists when the Windows Print Spooler service improperly performs privileged file operations. An attacker who successfully exploited this vulnerability could run arbitrary code with SYSTEM privileges. An attacker could then install programs; view, change, or delete data; or create new accounts with full user rights. UPDATE July 7, 2021: The security update for Windows Server 2012, Windows Server 2016 and Windows 10, Version 1607 have been released. Please see the Security Updates table for the applicable update for your system. We recommend that you install these updates immediately. If you are unable to install these updates, see the FAQ and Workaround sections in this CVE for information on how to help protect your system from this vulnerability. In addition to installing the updates, in order to secure your system, you must confirm that the following registry settings are set to 0 (zero) or are not defined (Note: These registry keys do not exist by default, and therefore are already at the secure setting.), also that your Group Policy setting are correct (see FAQ): <ul> <li>HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint</li> <li>NoWarningNoElevationOnInstall = 0 (DWORD) or not defined (default setting)</li> <li>UpdatePromptSettings = 0 (DWORD) or not defined (default setting)</li> </ul> Having NoWarningNoElevationOnInstall set to 1 makes your system vulnerable by design. UPDATE July 6, 2021: Microsoft has completed the investigation and has released security updates to address this vulnerability. Please see the Security Updates table for the applicable update for your system. We recommend that you install these updates immediately. If you are unable to install these updates, see the FAQ and Workaround sections in this CVE for information on how to help protect your system from this vulnerability. See also <a href="https://support.microsoft.com/topic/31b91c02-05bc-4ada-a7ea-183b129578a7">KB5005010: Restricting installation of new printer drivers after applying the July 6, 2021 updates</a>. Note that the security updates released on and after July 6, 2021 contain protections for CVE-2021-1675 and the additional remote code execution exploit in the Windows Print Spooler service known as “PrintNightmare”, documented in CVE-2021-34527.

CVE更新日: 2021-07-02 22:15:08.757000

CVSSバージョン: 3.1

CVSSスコア: 8.8

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.997920000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2021-34527は、「PrintNightmare」として知られるWindowsの印刷スプーラーサービスにおけるリモートコード実行（RCE）の脆弱性です。この脆弱性を悪用すると、攻撃者はSYSTEM権限で任意のコードを実行できるようになります。

1. 脆弱性の概要

Windows Print Spoolerサービスが、特権を必要とするファイル操作を不適切に実行することに起因するリモートコード実行の脆弱性です。攻撃者は、この脆弱性を悪用して、低い権限のアカウントを使用してリモートホストのプリンタードライバーをインストールさせることで、システム上でSYSTEM権限のコードを実行できます。

1.1 影響

攻撃者が本脆弱性の悪用に成功した場合、SYSTEM権限で任意のコードを実行できます。これにより、プログラムのインストール、データの表示・変更・削除、または完全なユーザー権限を持つ新しいアカウントの作成などが可能になります。内部ネットワークに侵入した攻撃者がドメインユーザーの権限を取得した後、ドメインコントローラー上で任意のコードを実行し、ドメイン管理者権限を侵害する恐れもあります。ランサムウェア攻撃に利用された事例も確認されています。

1.2 深刻度

NVDでは、CVSS v3.1の基本スコアが8.8（High）と評価されています。攻撃元区分はネットワーク、必要な権限は低い、ユーザー操作は不要とされています。

2. 対象となる環境

Windowsの印刷スプーラーサービスが稼働しているシステムに影響があります。特にドメインコントローラーはデフォルトで印刷スプーラーサービスが有効になっており、影響を受ける可能性が高いです。

2.1 影響を受けるOSバージョン

以下のWindowsバージョンが影響を受けます。 * Windows Server 2019 * Windows Server 2016 * Windows Server 2012 R2 * Windows Server 2012 * Windows Server 2008 R2 * Windows Server 2008 * Windows 10 * Windows RT 8.1 * Windows 8.1 * Windows 7

2.2 影響を受ける設定

特定のレジストリ設定やグループポリシー設定が不適切な場合、脆弱性の悪用を助長する可能性があります。具体的には、以下のレジストリキーがデフォルト設定（0または未定義）以外に設定されている場合、システムが脆弱になる可能性があります。 * HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint * NoWarningNoElevationOnInstall = 0 (DWORD) または未定義 * UpdatePromptSettings = 0 (DWORD) または未定義 NoWarningNoElevationOnInstall が 1 に設定されている場合、システムは設計上脆弱になります。また、「ポイントアンドプリント」が有効で、EnableLUA が無効であり、「Authenticated Users」グループが「緩和策」セクションに記載されているグループのいずれかにネストされている場合にも影響を受ける可能性があります。

3. 影響を受けた時の兆候

Spoolsv.exeプロセスからの疑わしいプロセスアクセスイベント。
プリンタースプーラーサービスが停止する。
DLLファイルのコードに基づいて、コマンド＆コントロールまたは特権の昇格が実行される。

4. 推奨対策

4.1 本対策

Microsoftから提供されているセキュリティ更新プログラムを適用してください。 2021年7月6日以降にリリースされたセキュリティ更新プログラムには、CVE-2021-34527および関連するCVE-2021-1675の両方に対する保護が含まれています。

セキュリティ更新プログラムを適用した後、以下のレジストリ設定が0 (ゼロ) に設定されているか、または存在しない (未定義) ことを確認してください。 * HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Printers\PointAndPrint * NoWarningNoElevationOnInstall = 0 (DWORD) または未定義 * UpdatePromptSettings = 0 (DWORD) または未定義

4.2 暫定回避策（緩和策）

パッチ適用がすぐにできない場合、以下の緩和策を検討してください。 * Print Spoolerサービスを無効にする: * これにより、ローカルおよびリモートの両方で印刷する機能が無効になります。印刷機能が不要なサーバー、特にドメインコントローラーでは、この対策が推奨されます。 * グループポリシーを使用してインバウンドリモート印刷を無効にする: * レジストリ設定でドライバのインストールを管理者権限を持つユーザーに制限する: * RestrictDriverInstallationToAdministrators レジストリキーに 1 を設定します。設定方法の詳細はKB5005010を参照してください。

他に解説すべき観点

「PrintNightmare」という呼称: CVE-2021-34527は「PrintNightmare」として広く知られていますが、この呼称は、関連する脆弱性であるCVE-2021-1675やCVE-2021-34481、CVE-2021-36958など、Windows印刷スプーラーサービスに関連する複数の脆弱性を総称して使用されることもあります。
PoC（概念実証コード）の存在: 公開当初から概念実証コード（PoC）が公開されており、実際に悪用が確認されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る