Ključni podaci za van
- Windows Print Spooler nedavno je bio središte nekoliko sigurnosnih propusta.
- Određen način na koji Windows Print Spooler radi čini složene poslove ispisa jednostavnijima, ali nije tako siguran.
- Redizajniranje Print Spooler-a i davanje veće kontrole moglo bi ga učiniti manje ranjivim, ako je Microsoft voljan to učiniti.
Windows Print Spooler u posljednje je vrijeme bio u središtu nekoliko sigurnosnih propusta, a unatoč naporima Microsofta, problem ne nestaje.
U nešto više od mjesec dana Microsoft je potvrdio tri sigurnosne ranjivosti povezane s Windows Print Spoolerom, a zakrpe su do sada objavljene za dvije od njih. CVE-2021-34527 (aka "PrintNightmare"), CVE-2021-34481, a sada i CVE-2021-36958 omogućili su zlonamjernim akterima da si daju pune privilegije SUSTAVA. Onemogućavanje Print Spooler-a je opcija, ali to vas sprječava u mogućnosti povezivanja pisača s vašim računalom. Daleko je to od idealnog rješenja.
"Ovaj problem stalno utječe na poslužitelje i klijente sustava Windows, od Windows 7 do 10, te poslužitelje 2019, 2004, 2012, 2008 i 2016," rekao je Felix Maberly, stručnjak za kibernetičku sigurnost u tvrtki Tiger Supplies, u e-poruci intervju za Lifewire. "Sve zakrpe koje je napravio Microsoft nisu uspjele zapečatiti ovu prijetnju."
Zašto Print Spooler?
Spooleri su, općenito, ono što pisače u osnovi čini ispisnim - oni prikupljaju sve potrebne podatke, šalju ih u upravljački program pisača, a zatim upravljački program pokreće pisač. Microsoftova verzija koristi sučelje grafičkog uređaja sustava Windows (GDI) zajedno s upravljačkim programom pisača kako bi pisaču govorila što treba učiniti, a ne aplikaciji. To pojednostavljuje zadatke ispisa za složenije programe i uklanja potrebu aplikacije da zna kako upravljati određenim modelima pisača.
"Iako je tehnika koju koristi Microsoftov Print Spooler prilično napredna i omogućuje korisnicima da svoje dokumente stave u red za ispis dok obavljaju druge zadatke na računalu, upotreba GDI-ja čini je manje sigurnom," rekao je Peter B altazar, tehnički pisac sadržaja u MalwareFoxu, u e-poruci, "za razliku od klasičnih programa za čekanje, potpuna kontrola slijeda ispisa nije s aplikacijom za čekanje."
Dakle, čini se da je glavni problem s ranjivošću Windows Print Spoolera upravo ono što ga razlikuje od većine drugih spoolera: oslanjanje na GDI. Podjelom kontrole između Windows Print Spooler-a i GDI-ja, uz to da GDI upravlja svim podacima za ispis, ostavlja sustav otvorenim. Svaka čast, Microsoft je pokušavao ostati u tijeku izdavanjem višestrukih sigurnosnih ažuriranja za pogođene sustave.
"Microsoft je objavio nekoliko zakrpa za rješavanje problema," rekao je Maberly. "Međutim, tijekom razdoblja čekanja ostaje pitanje hoće li tvrtke i drugi pojedinci [biti voljni] ostati ranjivi kako bi Microsoftu dali vremena da objavi ove zakrpe."
Može li Microsoft to popraviti?
Microsoft pravodobno izdaje sigurnosna ažuriranja je dobro, a čini se da to rješava relativnom brzinom kako se uočavaju nove ranjivosti. Međutim, kada je riječ o sigurnosti sustava, čekanje nekoliko tjedana na popravak možda neće biti dovoljno dobro. Pogotovo kada se i dalje otkrivaju nove ranjivosti dok se one poznate rješavaju.
"Microsoft bi trebao osigurati da dobijemo trajna rješenja za prijetnje dok čekamo, umjesto da imamo zakrpu koja uskoro postaje ranjiva," rekao je Maberly.
Je li uopće moguće da Microsoft osigura - u onoj mjeri u kojoj se može zaštititi računalni program - Windows Print Spooler u ovom trenutku? Može li metaforički zatvoriti vodu i popraviti cijevi umjesto da pokušava začepiti nova curenja kako ih pronađe? S obzirom na to koliko je često morao gurati sigurnosna ažuriranja Print Spooler-a u proteklom mjesecu, nešto se mora promijeniti.
"Microsoft bi trebao redizajnirati [print spooler], a [u] međuvremenu nastaviti pružati ažurirane zakrpe za popravak. Ovaj put moraju imati na umu sigurnosne aspekte korištenja GDI-ja," rekao je B altazar. "…Spuler bi trebao imati kontrolu nad svim koracima za uspješno dovršenje posla ispisa. Ovo će vjerojatno čvrsto vezati niz i učiniti spuler manje ranjivim na infiltracije."
