Microsoft ha tomado medidas para mejorar la seguridad de las impresoras, con un nuevo modo de impresión protegida de Windows (WPP), en lo que la empresa considera uno de los mayores cambios en la pila de impresión de Windows en más de 20 años.
Una necesidad apremiante
La medida llega en un periodo de amenazas continuas a las impresoras, con un reciente informe de Sharp, que revela que los riesgos de seguridad relacionados con las impresoras siguen estando muy extendidos y que casi una quinta parte de las empresas han sufrido una brecha de seguridad relacionada con las impresoras.
El sistema de impresión de Windows ha sido durante mucho tiempo un objetivo para los atacantes, ya que el Spooler requiere altos privilegios y debe cargar código desde la red. Los fallos de impresión han estado implicados en Stuxnet y Print Nightmare, y representan el 9% de todos los casos de Windows notificados al MSRC, según la empresa.
«Abandonar la impresión basada en controladores ofrece muchas ventajas a los usuarios y permite a Microsoft introducir muchas mejoras significativas en nuestro sistema de impresión», afirma Johnathan Norman, ingeniero de seguridad de Microsoft.
«El actual sistema basado en controladores, establecido hace décadas, depende de que muchos terceros y Microsoft desempeñen todos su papel, lo que ha demostrado ser demasiado lento para las amenazas modernas».
Menos privilegios
Con WPP, los privilegios para el servicio de impresión Print Spooler se han restringido para disminuir la superficie de ataque, con un nuevo proceso Spooler Worker que tiene un token restringido que elimina muchos privilegios como SeTcbPrivilege y SeAssignPrimaryTokenPrivilege, y ya no se ejecuta en SYSTEM IL. Aunque conserva SeImpersonatePrivilege, Norman dijo que la empresa planea eliminarlo cuando pueda.
La mitigación basada en hardware de la tecnología Control Flow Enforcement debería ayudar a mitigar los ataques basados en programación orientada a retornos (ROP), mientras que la creación de procesos hijo se bloqueará, impidiendo que los atacantes generen un nuevo proceso si consiguen ejecutar código en el Spooler.
Redirection Guard evita muchos ataques comunes de redirección de rutas que, a menudo, tienen como objetivo el Print Spooler, mientras que Arbitrary Code Guard evita la generación de código dinámico dentro de un proceso. Se impedirá que Point and Print instale controladores de terceros, y WPP dejará claro a los usuarios cuándo su tráfico está cifrado y, cuando sea posible, animará a los usuarios a activar el cifrado.