PrintNightmare, Windows’un yazdırma işlerini yöneten Print Spooler (spoolsv.exe) hizmetindeki bir kusura verilen isimdir. 2021 yazında CVE-2021-34527 koduyla gündeme geldi ve neredeyse tüm Windows istemci ile sunucu sürümlerini etkilediği için hızla yama bekleyen bir alarm hâline dönüştü. Sorunun kaynağı, spooler’ın uzaktaki bir yazıcı sürücüsünü sisteme kurarken kullanıcının kimlik ve yetki sınırlarını yeterince denetlememesiydi.

PrintNightmare, Print Spooler hizmetinin sürücü yükleme mantığındaki bir kusuru sömürerek sıradan bir kullanıcının SYSTEM ayrıcalığıyla kod çalıştırmasına imkân veren zafiyettir.

Zafiyet Nasıl Çalışır?

Print Spooler, yazdırma altyapısının bir parçası olarak sürücü paketlerini yükleyip yürütür ve bu işlemi SYSTEM hesabıyla yapar. RpcAddPrinterDriverEx gibi uzaktan çağrılabilen bir arayüz üzerinden saldırgan, kendi hazırladığı kötü amaçlı bir DLL’i geçerli bir yazıcı sürücüsü kılığında hizmete tanıtır. Spooler bu dosyayı meşru bir sürücü sanarak yükler ve içindeki kod, hizmetin sahip olduğu en yüksek yetkiyle bellekte çalışmaya başlar.

Saldırının etkili olmasının nedeni, sürücü dosyasının UNC yolu (örneğin bir SMB paylaşımı) üzerinden gösterilebilmesiydi. Böylece kimliği doğrulanmış sıradan bir alan kullanıcısı, ağdaki bir makinede kendi denetimindeki paylaşımı işaret ederek uzaktan kod çalıştırma ile yerel Yetki yükseltme adımlarını tek hamlede birleştirebiliyordu.

Kurumsal Etki

Print Spooler hizmeti pek çok sunucuda ve özellikle etki alanı denetleyicilerinde varsayılan olarak açık geldiği için PrintNightmare, sınırlı bir kullanıcının doğrudan denetleyici üzerinde SYSTEM koduna ulaşmasına kapı araladı. Bir etki alanı denetleyicisinin ele geçmesi, tüm ormanın parola karmalarına ve kimlik altyapısına erişim anlamına geldiğinden zafiyet, Active Directory güvenliği açısından en tehlikeli sınıfa yerleşti. Fidye yazılımı gruplarının kısa sürede bu tekniği yanal harekette kullandığı gözlendi.

Tespit ve Önleme

Savunma tarafında ilk adım, gerçekten yazdırma yapmayan sunucularda Print Spooler hizmetini tamamen kapatmaktır; özellikle etki alanı denetleyicilerinde bu hizmetin çalışmasına gerek yoktur. Microsoft’un yayımladığı düzeltmeler ve PointAndPrint kayıt defteri ayarları, sürücü kurulumunu yönetici onayına bağlayarak sömürüyü engeller. İzleme tarafında, spoolsv.exe’nin beklenmedik bir alt süreç doğurması, ağ paylaşımından yeni yüklenen DLL’ler ve 4688 olay kayıtları güçlü uyarı işaretleridir.

• Yazdırma gerektirmeyen sunucularda Print Spooler hizmetini devre dışı bırakın
• İşletim sistemlerini güncel tutan disiplinli bir Yama yönetimi süreci işletin
• Sürücü kurulumunu yalnızca yöneticilerle sınırlayan PointAndPrint politikalarını uygulayın
• Spooler süreçlerinin doğurduğu şüpheli işlemleri EDR ile izleyin

Şüphelenilen bir sömürü sonrası SYSTEM yetkisiyle çalıştırılmış bir kodun sistemde neler bıraktığını belirlemek, kalıcılık izlerini ve yanal hareketi çözmek uzmanlık ister. Bu noktada Privia Security’nin olay inceleme ve olay müdahalesi ekibi, etkilenen makineleri adli olarak inceleyip saldırının kapsamını netleştirir.