PrintNightmare: Microsoft advierte de una vulnerabilidad crítica en Windows que aún no tiene parche y está siendo explotada

Microsoft ha publicado una advertencia sobre un nuevo bug zero day que afecta a todas las versiones de Windows. Aunque no se le ha asignado todavía una calificación, se trata de una vulnerabilidad de ejecución remota de código, lo que probablemente la ponga en el nivel más crítico.

La vulnerabilidad CVE-2021-34527, que está siendo investigada, afecta al Servicio de Cola de impresión de Windows (Windows Print Spooler) y permite a un atacante ejecutar código de forma remota en el sistema con privilegios elevados.

Una prueba de concepto del exploit fue publicada por accidente

Microsoft has assigned CVE-2021-34527 to the remote code execution vulnerability that affects Windows Print Spooler. Get more info here: https://t.co/OarPvNCX7O

— Microsoft Security Intelligence (@MsftSecIntel) July 2, 2021

Investigadores de de seguridad de Sangfor publicaron una prueba de concepto del bug llamado PrintNightmare el pasado 29 de junio por accidente, aparentemente creían que Microsoft ya había corregido el fallo. Sin embargo, este no era el caso y rápidamente la borraron, aunque demasiado tarde porque fue copiada y un fork se publicó en GitHub.

A Microsoft le tomó un par de días publicar su advertencia de seguridad con las recomendaciones y soluciones temporales de momento, ya que la vulnerabilidad no ha sido parcheada. La empresa además advierte que el bug está siendo explotado de forma activa.

La vulnerabilidad existía desde antes de junio de 2021, por lo que Microsoft recomienda instalar las actualizaciones de seguridad de junio en todas las versiones de Windows con soporte. La empresa sabe que el código de la vulnerabilidad existe en todas las versiones de Windows, pero están investigando si el bug se puede explotar en todas ella.

El Servicio de Cola de Impresión se ejecuta por defecto en Windows, la empresa recomienda desactivar el servicio (si esto es una opción para la empresa), o desactivar la impresión remota a través del Editor de Directivas de Grupo. Otras recomendaciones incluyen desactivarlo en Controladores de Dominio y sistemas que no imprimen.