PrintNightmareはなぜSYSTEM権限を奪えたのか？ ── 印刷スプーラーとドライバー導入の境界

会社のプリンターを使えることと、そのプリンターを管理するWindowsへプログラムを組み込めることは、同じ権限ではありません。PrintNightmareでは、この境界が問題になりました。

1. 概要

PrintNightmare（CVE-2021-34527）は、Windowsの印刷スプーラーにドライバーを導入させ、攻撃者のコードをSYSTEM権限で実行させ得る脆弱性です。 紙の内容を盗み見るだけの問題ではなく、印刷を扱うWindowsそのものを侵害する入口でした。¹

通称は関連する複数の問題にも使われましたが、ここではCVE-2021-34527を扱います。6月に修正されたCVE-2021-1675とは別で、その更新だけでは今回の公表攻撃を防げませんでした。⁵

2. 対象

2021年当時の対象にはWindows 10、8.1、7、Windows Server 2019、2016、2012 R2などが含まれます。これは代表例です。全製品と更新の一覧は、JPCERT/CCの注意喚起と、そこから参照するMicrosoftの情報を確認してください。⁶

遠隔攻撃には、稼働中のPrint Spoolerへ要求が届き、対象への認証が成立することなどが必要です。通信にはRPCという、別のプロセスやコンピューターへ処理を依頼する仕組みを使います。匿名で任意のWindowsへ侵入できるわけではありません。³

たとえば社内のPC01から、Windowsの印刷サーバーPRN01を使っているとします。攻撃対象になるのは、図の真ん中のWindowsです。

flowchart TB
    accTitle: PrintNightmareの攻撃対象はWindowsの印刷サービス
    accDescr: PCからの要求を受けるWindowsの印刷スプーラーが攻撃対象であり、その先のプリンター本体とは別です。
    A["PC01：認証された利用者"] -->|"印刷サービスへの要求"| B["PRN01：Print Spooler"]
    B -.->|"通常の印刷経路"| C["プリンター本体"]

図1: プリンターの電源を切っても、PRN01上のサービスが停止するわけではありません。³⁷

印刷業務のないサーバーも確認対象です。また、遠隔攻撃とは別に、そのWindows上のユーザーによる権限昇格も問題になりました。³

3. 詳細

印刷依頼とドライバー導入

PC01の利用者が文書を印刷するとき、印刷スプーラーはジョブを受け付け、順序や出力を管理します。文書を渡すたびに、利用者へサーバーの管理者権限を渡す必要はありません。登録済みの印刷機能を使わせればよいからです。⁷

一方、新しいプリンタードライバーの導入では、Windowsが実行する部品自体を追加します。 AddPrinterDriverExは、そのためのAPIです。単に「この文書を印刷して」という要求とは仕事が違います。⁸

flowchart TB
    accTitle: 印刷する権限と実行部品を追加する権限の違い
    accDescr: 文書の印刷は登録済みの機能を使う操作ですが、ドライバー導入はWindowsが実行する部品を追加する操作です。
    A["文書の印刷"] --> B["登録済みの機能を使う"]
    C["ドライバーの導入"] --> D["実行する部品を追加する"]

図2: どちらも印刷に関する要求でも、許可すべき相手は同じとは限りません。⁷⁸

設定ファイルも、実はDLLである

導入APIには何を渡すのでしょうか。

APIで使うDRIVER_INFO_2という構造体を見ると、ドライバーの名前だけでなく、次のようなファイルの情報を持っています。右欄の例はMicrosoftの資料にあるものです。⁹

注目したいのは最後の行です。「設定」と書いてあっても、すべてが設定値を並べたテキストとは限りません。pConfigFileが指すのは設定処理を行うプログラムのDLLです。⁹

DLLを実行部品としてロードすれば、中にあるコードをプロセスが実行します。AddPrinterDriverExの説明にも、導入に成功するとドライバー側のDrvDriverEventを呼び出し、必要な初期化を行わせると書かれています。ファイルを保管して終わる操作ではありません。¹⁰

flowchart TB
    accTitle: ドライバー導入はファイルの保存だけでは終わらない
    accDescr: ドライバーのファイルは導入後に実行部品として使われ、導入時にも初期化処理を呼び出す段階があります。
    A["ドライバーのファイル情報"] --> B["ファイルの配置・登録"]
    B --> C["DLLを実行部品としてロード"]
    C --> D["初期化などのコードを実行"]

図3: 「どのファイルを導入するか」は、「どのコードを実行するか」にもつながります。⁹¹⁰

非管理者の指定を、SYSTEMが実行した

ここで、PC01からPRN01へ悪意のあるドライバー導入要求を送る場合を考えます。

公表された経路では、RpcAddPrinterDriverExを通して、認証された攻撃者が外部に置いたDLLを指定できました。脆弱なスプーラーがその指定を使って権限のあるファイル操作を行い、最終的にspoolsv.exeがDLL内のコードをSYSTEM権限で実行してしまいます。¹¹

利用者自身に、サーバーの保護された場所へ自由にプログラムを組み込む権限があったわけではありません。その権限を持つサービスへ、利用者の選んだプログラムを組み込ませられたのが問題です。

flowchart TB
    accTitle: 非管理者の指定がSYSTEM権限の処理へ渡る
    accDescr: 攻撃者が選んだDLLの情報が脆弱な導入処理へ渡り、対象側のスプーラーがSYSTEM権限でそのコードを実行します。
    A["攻撃者：非管理者"] -->|"DLLの指定"| B["PRN01の脆弱な導入処理"]
    B --> C["スプーラーがDLLをロード"]
    C --> D["PRN01でSYSTEMとして実行"]

図4: PC01のユーザーが管理者へ変身するのではなく、PRN01側で強い権限のコード実行が起きます。¹¹

SYSTEMは、ローカルで広い権限を持つサービス用アカウントです。利用者とは別の権限で動きます。ユーザーモードのプロセスもSYSTEMで動けるので、このコード実行をカーネルへの侵入と同一視する必要はありません。¹²

APIの資料はSeLoadDriverPrivilegeを要求していますが、未修正のRPC経路では導入機能へのアクセス制限が不十分でした。正常なAPIの仕様と、CERT/CCが記録した脆弱な動作は区別が必要です。¹³¹

公表攻撃にはRpcAsyncAddPrinterDriver経由もあり、一つのRPC名だけを監視する対策では不十分です。¹¹

Point and Printでは、誰が受け取るのか

Point and Printは、共有プリンターの利用に必要なファイルや設定を、印刷サーバーからクライアントへ自動取得する仕組みです。PC01の利用者がドライバーの媒体を探さずに済みます。¹⁴

ファイルの行き先を比べます。

flowchart TB
    accTitle: 通常のPoint and Printと今回の攻撃では導入先が異なる
    accDescr: 通常のPoint and Printはサーバーから利用者PCへファイルを渡しますが、CVE-2021-34527の公表経路では攻撃者が対象Windowsへ悪意のあるドライバーを導入させます。
    subgraph Normal["通常のPoint and Print"]
      direction TB
      A["印刷サーバーPRN01"] --> B["PC01へドライバーを取得"]
    end
    subgraph Attack["今回扱う攻撃経路"]
      direction TB
      C["攻撃者が導入を要求"] --> D["PRN01側へ悪意のあるDLL"]
    end
    Normal ~~~ Attack

図5: 「サーバーからドライバーを受け取る」と「サーバーへドライバーを入れさせる」は逆向きの話です。¹⁵

MicrosoftのKB5005010も、この二つを区別しています。通常のPoint and Printの接続操作そのものを、今回の攻撃手順として説明すると、ドライバーの行き先が逆になります。¹⁵

対策にPoint and Printの設定も出てくるのは、非管理者によるドライバー導入を許す経路やポリシーまで見直されたためです。7月の修正と8月の変更は、後の「対策」で分けて追います。¹⁶

4. 影響

直接の結果は、攻撃されたWindows上でのSYSTEM権限のコード実行です。その権限でプログラムを導入したり、データを閲覧・変更・削除したりする被害につながります。印刷キューに限られた権限ではありません。¹⁷

ただし、通常の印刷サーバーでSYSTEMになったことと、直ちにドメイン管理者になったことは同じではありません。侵害した機械の役割、そこにある認証情報、ほかの資源への権限が、その後の被害を左右します。

特に重要なのがドメインコントローラー（DC）です。DC上のスプーラーを攻撃できれば、会社の認証基盤を動かすWindows上でコードを実行することになります。JPCERT/CCも、ドメインユーザーの権限を得た攻撃者がDCを侵害し、さらにドメイン管理者権限へ進む危険を指摘していました。²

flowchart TB
    accTitle: 同じSYSTEM権限でも侵害された機械の役割で被害が変わる
    accDescr: 対象WindowsのSYSTEM権限から、その機械が持つデータや権限へ影響が及びます。DCの場合は認証基盤の侵害につながります。
    A["対象WindowsでSYSTEM実行"] --> B{"対象の役割"}
    B -->|"印刷サーバー"| C["その機械のデータ・権限"]
    B -->|"ドメインコントローラー"| D["ドメインの認証基盤"]

図6: 被害の大きさは、得た権限だけでなく、その権限をどの機械で得たかによっても変わります。²

CISAのKEVカタログには2021年11月3日に登録され、ランサムウェア利用も「Known」とされています。実際に悪用された脆弱性ですが、この登録日は初回攻撃日を意味しません。⁴

5. 対策

7月の修正と8月の既定動作変更

更新は段階的でした。日付はMicrosoftの英語告知基準で、日本時間の告知では翌日になる場合があります。¹⁸

7月の更新後は、Printer Operatorsなどの委任されたグループも含め、非管理者は印刷サーバーへ署名済み・未署名のドライバーを導入できない扱いになりました。一方、通常のPoint and Printでクライアントがドライバーを取得する場面は、この変更と分けて説明されていました。¹⁹

8月には、利用者が共有プリンターを追加・更新する側の既定動作も変わります。印刷の利用は許しても、実行部品の追加には管理者の判断を要求する方向です。Microsoftはこの変更に業務上の影響があることを認めつつ、セキュリティ上必要だと説明しました。¹⁶

flowchart TB
    accTitle: ドライバー導入で管理者の判断を要求する
    accDescr: 管理者権限が必要なドライバー導入では、通常ユーザーからの要求だけで導入を完了させません。認証済みというだけでは承認になりません。
    A["ドライバーの導入・更新要求"] --> B{"管理者権限を確認"}
    B -->|"ない"| C["そのまま導入しない"]
    B -->|"ある"| D["ほかの検査も満たして導入"]

図7: 相手の名前が分かったことと、その相手にコードの導入を任せてよいことを分けます。¹⁹²⁰

更新を入れた後の設定

Microsoftは7月8日、調査した修正回避の報告では、安全でないPoint and Print設定が使われていたと説明しました。「7月の更新は無意味」とも、「更新後は設定が何でもよい」とも読めません。²¹

8月以降の更新では、RestrictDriverInstallationToAdministratorsが1、または未定義なら、Point and Printのドライバー導入に管理者権限を要求するのが既定です。0へ戻すのは保護を弱める変更であり、Microsoftは他の緩和策を組み合わせても1と同等にはならないと注意しています。キーが存在しない場合の意味も、更新前後で同じではありません。²⁰

現在は適切な累積更新を適用し、サーバー・クライアント双方のポリシーを確認します。古い「印刷を直すレジストリ変更」を残さず、必要なドライバーは管理者が配布・事前導入する方法を検討します。²²

印刷しない機械では入口をなくす

Print Spoolerを停止・無効化すれば、このサービスを使う攻撃の入口はなくなりますが、印刷も利用できなくなります。クライアント接続だけを禁止するポリシーは、サービス再起動後に遠隔の入口を止めるもので、ローカルの攻撃経路は残ります。²³

MicrosoftはDCでのスプーラー無効化を推奨しています。ADの古い印刷キュー情報を整理する処理にも影響するため、依存関係を確認して役割を分けます。²⁴

6. 教訓

PrintNightmareを「プリンターのバグ」とだけ覚えると、なぜ重大だったのかが抜けます。印刷サービスは文書を受け取るだけでなく、実行する部品を管理していました。その部品の指定を十分に制限できなければ、サービスの強い権限を使って他人のコードを動かしてしまいます。

同じ点検は、自作のWindowsサービスやプラグイン導入機能にも使えます。呼び出した相手を認証するだけでなく、その相手は何を選べるのか。選ばれたファイルは誰の権限で配置され、最終的に誰の権限で実行されるのかまで追います。

たとえば、利用者が選べる文書を読み込む操作と、利用者が選べるDLLをロードする操作を、同じ「ファイルを受け取るAPI」として扱ってはいけません。後者では、ファイルの内容が処理の主体になります。PrintNightmareは、この違いがサービスの権限境界に直結する例でした。

この記事は公開された一次資料に基づく仕組みの解説です。未修正Windowsでの攻撃再現、ドライバーの導入、サービスやポリシーの変更は行っていません。図中のPC01・PRN01は説明用の構成です。

図の実線は常に成り立つ関係、破線は条件付きの関係です(成立条件は詳細ページの各関係の説明に記載)。関係すべての一覧(全5件、根拠・確度つき)と主要概念の定義は知識マップ詳細ページにまとめています。データ: JSON-LD / Turtle

関連記事

• Zerologonはなぜ認証を突破できたのか？
• Windowsの偽装とアクセストークン

参考リンク

関連する記事

同じタグを共有する最新の記事です。さらに近い話題で知識を深められます。

関連トピック

このテーマと近いトピックページです。記事を起点に、関連するサービスや他の記事へ進めます。

このテーマがつながるサービス

この記事は次のサービスページにつながります。近い入口からご覧ください。

よくある質問

この記事のテーマについて、相談時によくある質問をまとめています。

PrintNightmareはプリンター本体の脆弱性ですか？

この記事で扱うCVE-2021-34527は、Windowsの印刷スプーラーの脆弱性です。問題の中心は紙を出す機構ではなく、Windowsへプリンタードライバーを導入する処理です。プリンターの電源を切ることと、Windowsのサービスを停止することは別です。

攻撃者は管理者のパスワードを知っている必要がありましたか？

公表された遠隔攻撃では対象への認証は必要でしたが、対象の管理者権限を事前に持つ必要はありませんでした。サービスへの到達性や更新・ポリシーなどの条件があり、匿名で任意のWindowsへ侵入できるという意味ではありません。

CVE-2021-1675とCVE-2021-34527は同じものですか？

別の脆弱性です。6月に修正されたCVE-2021-1675と、7月に対策されたCVE-2021-34527は、同じ印刷スプーラー周辺の問題でも攻撃経路が異なります。PrintNightmareという通称だけで修正済みかを判断せず、CVEと更新内容を確認します。

Point and Printを使うだけで危険なのですか？

Point and Printは、共有プリンターの利用に必要なドライバーなどをサーバーからクライアントへ取得する仕組みです。機能名だけで危険と判断するものではありません。更新とポリシーが重要で、2021年8月以降の更新ではドライバーの導入・更新に既定で管理者権限を要求します。

印刷スプーラーのクライアント接続を禁止すれば、停止と同じ効果になりますか？

同じではありません。外部からの接続を禁止する回避策は遠隔の入口を狭めますが、サービス自体は動き続けるため、ローカルの攻撃経路を同時に解消するものではありません。停止・無効化はローカルとリモートの印刷を使えなくするため、業務への影響も確認します。

著者プロフィール

記事の著者プロフィールページです。

小村 豪

合同会社小村ソフト 代表

Windows ソフト開発、技術相談、不具合調査を中心に、既存資産が残る案件や原因が見えにくい障害調査に強みがあります。