abbrechen
Suchergebnisse werden angezeigt für 
Stattdessen suchen nach 
Meintest du: 

Jetzt handeln: Angreifer nutzen PrintNightmare Lücke in Windows aktiv aus

131
letzte Antwort am 13.11.2021 17:59:33 von metalposaunist
Dieser Beitrag ist geschlossen
0 Personen hatten auch diese Frage
einmalnoch
Experte
Offline Online
Nachricht 121 von 132
913 Mal angesehen

@Gelöschter Nutzer  schrieb:

wann hab ich mich zuletzt als lokaler admin eingeloggt.. jahre her. da dürfte nichts (mehr) sein.. oder hab ich das Problem falsch verstanden?

Falls nicht, dürfte es den meisten Kanzleien nicht anders gehen..

 

Warum heißen die Dinger mittlerweile immer "Nightmare"?


Weil der Albtraum auf Englisch eben gefährlicher klingt.

„Einen guten Ruf erwirbt man sich nicht mit Dingen, die man erst machen will.“ - Henry Ford
Koppelfeld
Aufsteiger
Offline Online
Nachricht 122 von 132
889 Mal angesehen

@einmalnoch  schrieb:

@andreashofmeister  schrieb:

@renek  schrieb:

Ich will nimmer 😭


Also doch Linux?


Na ja, CUPS ist ja auch nicht davor gefeit:

 

https://www.bsi.bund.de/SharedDocs/Warnmeldungen/DE/CB/2021/03/warnmeldung_cb-k20-1190_update_8.html 

"CUPS" ist ein Nachbau des Windows-Pendants.   Nur mit der Performance hapert es und es ist *noch* unzuverlässiger.

Wer den Microsoft-Mist nachbaut, völlig ohne Konzept, der erntet Microsoft-Probleme.

Das kann man gut am Münchner "LiMux"-Projekt sehen, dessen Weichen von vornherein auf "Scheitern" gelegt waren.

Die Amis nennen es glaube ich "Dunning-Kruger - Symptom", wenn Menschen die Kompetenz fehlt, die eigene Inkompetenz zu erkennen.   So geht es den juvenilen Linux-Fricklern, die meinen, sie wären die "Guten" (i.e., "Allianz der Anständigen") und vor allen Dingen die technisch besseren Entwickler -- was kann DA schon schiefgehen.   So trauen sie sich regelmäßig an Dinge heran, bei denen Microsoft versagt.

Dumm nur:  Microsoft hat *verdammt gute* Entwickler.

Und die "Community" ist erst wieder beim Formulieren der Ausreden für ihr Versagen ganz große Klasse.

 

Frei nach Nina Hagen, und sorry, Herr Vogtsburger,

JETZT ISSES ZEIT, ENDLICH 'MAL AUFZUMOTZEN:

 

1.

"Druckertreiber" - Schon der Begriff, das riecht nach Klo und Kappes.

Der Franzmann hat ja ein Gesetz, nach dem im offiziellen Sprachgebrauch keine Anglizismen benutzt werden dürfen.   Und da heißt der "device driver" dann eben "Pilot" und das trifft es:

Ein "device driver" steuert das Gerät direkt und sitzt im "Dreiländereck" zwischen Gerät, Betriebssystemkern und Anwendungssoftware.

Das trifft auf die "Druckertreiber" ja überhaupt nicht zu, denn die haben bei einem ordentlich konfigurierten System ja überhaupt keinen Zugang zum Gerät.  Wie soll er es dann steuern?

Also:   Es gibt eigentlich keine Druckertreiber.

Daher:   sind sie überflüssig wie ein Kropf und machen nix als Ärger.

 

2.

Stattdessen ist der "Druckertreiber" in Wahrheit eine Formatierungshilfe, der den WIndows-Metacode in eine Druckersprache umwandelt.

Da haben wir momentan zur Auswahl:

- PCL (GL/2 inkludiert)

- PostScript

- und sonstigen sehr entbehrlichen Ramsch.

KLAR, ich muß dem Formatierer noch beibiegen, "Drucke doppelseitig", "Nimm Briefpapier", "Drucke einen Formularkopf mit", "Hefte den Job", "Diesen Job bitte auf A3".

Dafür haben die Hersteller so einen "Job Header" vorgesehen, bei HP heißt er "PJL", kann für sowohl PCL als auch PostScript verwendet werden und ist de-facto-Standard.

 

Was heißt das?  Wenn "Windows" einfach nur eine generische PostScript- und PCL-Schnittstelle zur Verfügung stellen würde, dann wäre das "Formatierungsproblem" ein- für allemal erschlagen und wir müßten nicht in 14täglichem Turnus die "Druckersoftware" aktualisieren, die fett und aufgedunsen ab 250 MB Größe per Installer auf die Platte erbrochen wird.

 

Wer's nicht glaubt:

Wir entwickeln nunmehr seit den späten 80ern Anwendungssoftware für IBMs AIX und für IBM Großsysteme.  Teilweise mit sehr anspruchsvoller Graphik (technische Zeichnungen nach DIN).   Wir haben niemals auch nur einen einzigen "Treiber" benötigt, sondern immer nur die Standardschnittstellen des Betriebssystems verwendet.

 

3.

Ein einfacher Spooler, also ein schmuckloser BSD LPR, wie es ihn seit 50 Jahren gibt (früher wurde er vor allem für die Lochkartenstanzer gebraucht), besteht aus drei Prozessen, dem Listener, der (mit Systemrechten) auf eigehende Verbindungen lauscht, dem Enqueueer, der (ebenfalls mit Systemrechten) den Job in einer Warteschlange parkt und schließlich den Dequeueer (ohne irgendwelche Privilegien), der sich den Job schnappt und über ein Formatierungs-Backend auf den Drucker schiebt.

Das ist so einfach, wie es sich anhört.

Und weil nicht alles "an einem Stück hängt", kann man bei jedem ordentlichen System den Listener abschalten, dann kann der Rechner aber immer noch lokal drucken.

 

 

Es gibt nur eine Lösung für das "Druckerproblem":

Zurück zur einfachen Lösung aus den 80ern.   Wie meinte der unvergeßliche Dr. Dr. Johannes Dyba ?    "Wenn man am Abgrund steht, ist jeder Schritt zurück ein Schritt in die richtige Richtung".

 

 

https://www.golem.de/news/it-sicherheit-etwa-80-000-drucker-sind-im-internet-offen-ansteuerbar-2006-149276.html 

Auch wenn das hier beschriebene, völlig überflüssige "Internet Printing Protocol" hier erwähnt wird (als ob das einfache LPR nicht auch das Internetprotokoll verwenden würde):

Kein Admin, der seinen Namen verdient, macht Drucker, die ja häufig nix anderes sind als ungeschützte, unter Druck zusammengekloppte Linux-PCs, im Netzwerk für jedermann verfügbar.

 

 

 

CUPS = Common Unix Printer System

Das ist der Wunschtraum der Linux-Fanboys, das Pendant zum Ponyhof eines pubertierenden Girlies.  Wobei der Ponyhof nicht so häßliche Nebenwirkungen hat.

 

 

Von der "Klimakrise" wissen wir nicht definitiv, ob sie "menschengemacht" ist.

Aber für die "Druckerkrise" sind wir ganz alleine verantwortlich.

 

Hier ist DATEV gefragt, ein eigenes DATEV-Drucksystem nach den oben skizzierten Richtlinien aus den frühen 80ern wäre einfach zu implementieren und würde viele Probleme lösen.

--
Hans Bonfigt

Wenn der Kaiser nackt ist, ist der Kaiser nackt.
renek
Meister
Offline Online
Nachricht 123 von 132
854 Mal angesehen

@andreashofmeister  schrieb:

@renek  schrieb:

Ich will nimmer 😭


Also doch Linux?


Nö, da gibt es momentan Root-Kernel-Lücken in vielen Distributionen!

https://www.heise.de/news/Root-Kernel-Luecke-bedroht-viele-Linux-Distributionen-6144023.html

0 Kudos
chrisocki
Experte
Offline Online
Nachricht 124 von 132
827 Mal angesehen

Moin,

 

 

@Koppelfeld schrieb: ...ganz viel Technik, die den "gemeinen" StB nicht interessiert...

 

 


Das trifft auf die "Druckertreiber" ja überhaupt nicht zu, denn die haben bei einem ordentlich konfigurierten System ja überhaupt keinen Zugang zum Gerät.  Wie soll er es dann steuern?


Wieso hat der "Treiber" keinen Zugriff auf das Gerät?  Hat er doch. Und wenn ich mir die Dinger von Minolta, HP, etc. ansehe, reden die auch mit dem Zielgerät. Abfrage Schächte, Duplex, Papierformate, etc. Dabei ist es egal ob er über USB oder IP mit dem Dingen spricht.

 


KLAR, ich muß dem Formatierer noch beibiegen, "Drucke doppelseitig", "Nimm Briefpapier", "Drucke einen Formularkopf mit", "Hefte den Job", "Diesen Job bitte auf A3".


Und schon sind wir bei den individuellen Feinheiten. Dann gibt es noch die Großformatdrucker, Plotter u.s.w. die PCL schon einmal zum k... finden.

Ach so, Farbgenauigkeit ist dann noch von Sprache zu Sprache unterschiedlich. Da müssen die Treiber entsprechend eingemessen werden, wenn Grafiker auch das herausbekommen wollen, was Sie so schön gemalt haben. Das ist dann sogar Gerätespezifisch.... 

 

 


Hier ist DATEV gefragt, ein eigenes DATEV-Drucksystem nach den oben skizzierten Richtlinien aus den frühen 80ern wäre einfach zu implementieren und würde viele Probleme lösen.


BITTE NICHT! DATEV hat sowas schon einmal unter DOS gemacht. Zum Schluss funktionierte es auch. Aber wehe es hat hier jemand rumgefummelt. OK, komplizierter wurde eigentlich nur, weil Novell, DOS und Windows im Spiel waren... 

 

 

Vielleicht sollten wir in Teilen einfach mal das hinnehmen, was wir (als Gesellschaft) seit Jahren "freiwillig" genutzt haben. Das fing mit Windows an und begleitet uns seit Jahrzehnten. Die alternativen OS wurden aus div. Gründen nie oder nur wenig vom Markt angenommen. 

 

Und kleiner ist keine OS-Plattform geworden. Das kommen überall Millionen Codezeilen hinzu. Und da schlummern bei allen OS entsprechend Angriffsvektoren.

Und DATEV soll hier auch noch mitmischen. Nein Danke! Die Kolleginnen und Kollegen in Nürnberg sollen die bestehenden Anwendungen in den Griff bekommen bzw. weiterentwickeln. Da wartet genug Arbeit.

 

 

Fazit für mich: In den kleineren Netzen habe ich die Druckspooler auf den Windows-Servern deaktiviert. Entweder drucken die Clientrechner/TS direkt oder eben gar nicht. Die grösseren Kanzleien sind in DATEVasp und somit für mich ein "PaL" --> Problem anderer Leute

 

 

Beste Grüße
Christian Ockenfels

agmü
Experte
Offline Online
Nachricht 125 von 132
815 Mal angesehen

für alle Linux-Fans:😏

 

https://www.heise.de/news/Root-Kernel-Luecke-bedroht-viele-Linux-Distributionen-6144023.html 

 

Es scheint fast egal zu sein, welches System im Untergrund läuft.  Alle Systeme sind mehr oder weniger "sicher".

Andreas G. Müller
wir leben in spannenden Zeiten
Koppelfeld
Aufsteiger
Offline Online
Nachricht 126 von 132
715 Mal angesehen

@chrisocki  schrieb:

Moin,

 

 

@Koppelfeld schrieb: ...ganz viel Technik, die den "gemeinen" StB nicht interessiert...

 

 


Das trifft auf die "Druckertreiber" ja überhaupt nicht zu, denn die haben bei einem ordentlich konfigurierten System ja überhaupt keinen Zugang zum Gerät.  Wie soll er es dann steuern?


Wieso hat der "Treiber" keinen Zugriff auf das Gerät?  Hat er doch. Und wenn ich mir die Dinger von Minolta, HP, etc. ansehe, reden die auch mit dem Zielgerät. Abfrage Schächte, Duplex, Papierformate, etc. Dabei ist es egal ob er über USB oder IP mit dem Dingen spricht.

Vorsichtig konfigurierte Syteme haben keinen direkten Zugriff auf den Drucker.  Entsprechend ist auch kein Feedback möglich.  Im Windows-Drucksystem gibt es die Checkbox, "Bidirektionale Druckerunterstützung aktivieren".  Der 'Status Readback" über IP in birgt bei Verwendung des 'Nagle Algorithm' ganz fiese Fallen -- typischerweise flusht der Drucker die Statussequenz nur halb und die Gegenstelle hängt bis zum St. Nimmerleinstag im 'wait'.

 

 

 

 


KLAR, ich muß dem Formatierer noch beibiegen, "Drucke doppelseitig", "Nimm Briefpapier", "Drucke einen Formularkopf mit", "Hefte den Job", "Diesen Job bitte auf A3".


Und schon sind wir bei den individuellen Feinheiten. Dann gibt es noch die Großformatdrucker, Plotter u.s.w. die PCL schon einmal zum k... finden.

Ach so, Farbgenauigkeit ist dann noch von Sprache zu Sprache unterschiedlich. Da müssen die Treiber entsprechend eingemessen werden, wenn Grafiker auch das herausbekommen wollen, was Sie so schön gemalt haben. Das ist dann sogar Gerätespezifisch.... 

Anständige Techniker "malen" in Schwarzweiß, und Drucker kann man kalibrieren.

 

 


Vielleicht sollten wir in Teilen einfach mal das hinnehmen, was wir (als Gesellschaft) seit Jahren "freiwillig" genutzt haben. Das fing mit Windows an und begleitet uns seit Jahrzehnten. Die alternativen OS wurden aus div. Gründen nie oder nur wenig vom Markt angenommen.

Passende Heise-Meldung:

https://www.heise.de/news/HP-Samsung-Xerox-Luecke-in-Windows-Druckertreibern-gefixt-nach-16-Jahren-6145114.html

 

Und täglich grüßt das Murmeltier.

 

--
Hans Bonfigt

Wenn der Kaiser nackt ist, ist der Kaiser nackt.
0 Kudos
metalposaunist
Unerreicht
Offline Online
Nachricht 127 von 132
616 Mal angesehen

Update ⬆️Neuer PrintNightmare-Patch: Microsoft empfiehlt sofortige Installation

#EmpoweringPeopleInTechnology – Daniel Bohle
www.metalposaunist.de
0 Kudos
metalposaunist
Unerreicht
Offline Online
Nachricht 128 von 132
536 Mal angesehen

Ransomware-Gang nutzt PrintNightmare für Angriffe auf Windows Server Corona kam laut Medien aus China 🙈. Also eine Frage der Zeit, bis die Hacker auch unsere Gebiete erreichen 😶

 

Windows PrintNightmare, neue Runde mit CVE-2021-36958

#EmpoweringPeopleInTechnology – Daniel Bohle
www.metalposaunist.de
einmalnoch
Experte
Offline Online
Nachricht 129 von 132
495 Mal angesehen

Eine Bedienungsanleitung zum Angriff ging ja gerade Online:

 

https://www.heise.de/hintergrund/Das-Conti-Leak-Bedienungsanleitung-fuer-Ransomware-6160551.html 

 

Die Hinweise auf die Besonderheiten der deutschen Sprachversion von Win Server lassen tief blicken.

„Einen guten Ruf erwirbt man sich nicht mit Dingen, die man erst machen will.“ - Henry Ford
metalposaunist
Unerreicht
Offline Online
Nachricht 130 von 132
448 Mal angesehen
clblank
Einsteiger
Offline Online
Nachricht 131 von 132
383 Mal angesehen

Ich habe am Wochenende das 15.0 update installiert und konnte am Montag keine Rechnungen mehr schreiben. Das Datev-Hilfecenter spuckte die Empfehlung aus, den skypdf-Treiber zu deinstallieren und abschließend neu zu installieren. Leider hat das Installieren nicht funktioniert.

 

Grund war, dass ich mit dem PowerShell-Skript der Firma Truesec Veränderungen im Verzeichnis C:\Windows\System32\spool\drivers verboten habe.  Dies habe ich nun wieder aufgehoben, und damit ließ sich auch der Treiber wieder installieren.

metalposaunist
Unerreicht
Offline Online
Nachricht 132 von 132
275 Mal angesehen

Wenn das kein weiterer Ansporn ist, auf Drucker und drucken zu verzichten: Windows PrintNightmare-Druckprobleme: Server verliert Einstellungen, Fehler beim Drucken

 

Mich würde ja mal interessieren 🤔, ob das Auswirkung auf den DATEV Geschäftspostdruck hat. Wenn ja, ist das auch nicht das blaue vom Himmel. 

#EmpoweringPeopleInTechnology – Daniel Bohle
www.metalposaunist.de
131
letzte Antwort am 13.11.2021 17:59:33 von metalposaunist
Dieser Beitrag ist geschlossen
0 Personen hatten auch diese Frage