Патч PrintNightmare від Microsoft порушує корпоративний друк на основі смарт-карт

Хто б не ввів термін PrintNightmare, мабуть, був передбачливим, оскільки експлойт виявив скриньку Пандори з проблемами друкарського стека Microsoft, причому сама остання спричинена виправленням недоліків від Microsoft.

Корпорація Майкрософт опублікувала нову відому проблему для свого сукупного оновлення Windows 2021 у липні 10 року, попереджаючи компанії, що друк за допомогою автентифікації на основі смарт-карт може припинити роботу після того, як вони виправлять свої сервери друку.

Microsoft пише:

Після встановлення оновлень, випущених 13 липня 2021 року на контролерах домену (DC) у вашому середовищі, принтери, сканери та багатофункціональні пристрої, які не відповідають розділу 3.2.1 специфікації RFC 4556, можуть не друкувати під час використання смарт-картки (PIV ) автентифікація.

Схоже, проблема стосується всіх підтримуваних версій Windows і Windows Server.

Microsoft пояснює проблема стосується принтерів, сканерів та багатофункціональних пристроїв, що автентифікують смарт-карту, які не підтримують DH або рекламують підтримку des-ede3-cbc (“потрійний DES”) під час запиту Kerberos AS. Відповідно до розділу 3.2.1 специфікації RFC 4556, щоб цей обмін ключами працював, клієнт повинен як підтримати, так і повідомити центр розподілу ключів (KDC) про свою підтримку des-ede3-cbc (“потрійний DES”). Клієнти, які ініціюють Kerberos PKINIT із обміном ключами в режимі шифрування, але ні підтримують, ні повідомляють KDC, що вони підтримують des-ede3-cbc (“потрійний DES”), будуть відхилені.

Якщо це впливає на ваш пристрій, Microsoft рекомендує спочатку перевірити, чи доступна у вашого постачальника новіша прошивка, яка може вирішити проблему. Microsoft також працює над усуненням, яке поки що недоступне, але рекомендує компаніям звертатися до свого постачальника з проханням доставити оновлення або запропонувати обхідний шлях.

Корпорація Майкрософт зазначає, що пристрої, на які впливає аутентифікація за допомогою смарт-карт (PIV), повинні працювати належним чином при використанні ідентифікаційних даних користувача та пароля.

через на MSFT