Microsofts PrintNightmare-patch bryder smartcard-baseret virksomhedsudskrivning

Den, der udtænkte udtrykket PrintNightmare, må have været forudgående, da udnyttelsen har afdækket en Pandoras boks med problemer med Microsofts udskrivningsstak, idet den allerbedste skyldes Microsofts løsning på fejlen.

Microsoft har offentliggjort et nyt kendt problem for deres kumulative Windows 2021-opdatering i juli 10, der advarer virksomheder om, at udskrivning med smartcard-baseret godkendelse kan stoppe med at fungere, efter at de har patchet deres printerservere.

microsoft skriver:

Efter installation af opdateringer, der blev frigivet den 13. juli 2021 på domænecontrollere (DC'er) i dit miljø, kan printere, scannere og multifunktionsenheder, der ikke er kompatible med afsnit 3.2.1 i RFC 4556-specifikationen, muligvis ikke udskrive, når du bruger smart-kort (PIV ) Godkendelse.

Problemet ser ud til at påvirke alle understøttede versioner af Windows og Windows Server.

Microsoft forklarer problemet påvirker chipkortgodkendelsesprintere, scannere og multifunktionsenheder, der ikke understøtter DH eller reklamerer for support til des-ede3-cbc (“triple DES”) under Kerberos AS-anmodningen. I henhold til afsnit 3.2.1 i RFC 4556-specifikationen skal klienten både støtte og underrette nøgledistributionscentret (KDC) om deres support til des-ede3-cbc (“triple DES”) for at denne nøgleudveksling skal fungere. Kunder, der initierer Kerberos PKINIT med nøgleudveksling i krypteringstilstand, men hverken understøtter eller fortæller KDC, at de understøtter des-ede3-cbc (“triple DES”), vil blive afvist.

Hvis din enhed er berørt, anbefaler Microsoft i første omgang at kontrollere, om nyere firmware, der muligvis løser problemet, er tilgængelig fra din leverandør. Microsoft arbejder også på en omgåelse, som endnu ikke er tilgængelig, men anbefaler virksomheder at andrage deres leverandør om at levere en opdatering eller tilbyde en løsning.

Microsoft bemærker, at enheder, der er berørt, når de bruger PIV-godkendelse (smart card), skal fungere som forventet, når man bruger brugernavn og adgangskodegodkendelse.

via påMSFT