El pasado 30 de junio de 2021, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de los Estados Unidos (CISA) emitió una advertencia sobre PrintNightmare, una vulnerabilidad que afecta a todo el spooler de impresión de las versiones actuales de Microsoft Windows, para la que todavía no existe ningún parche.
PrintNightmare puede permitir a un atacante ejecutar código como sistema operativo en cualquier sistema Windows, incluidos los controladores de dominio. Esto significa que un ataque exitoso puede dar al atacante el control total de un sistema vulnerable. Si el sistema fuera un controlador de dominio, tendría el control total de la red, incluyendo la capacidad de crear nuevas cuentas de nivel administrativo en los dominios. Debido a esto, esta vulnerabilidad podría ser utilizada por los atacantes para ataques de tipo APT.
Jan Vojtěšek, investigador de malware de Avast, señala que, "lo que hace que esta vulnerabilidad sea extremadamente peligrosa es la combinación de dos hechos: no está parcheada por ahora y existe una prueba de concepto (PoC) pública para explotarla. Cualquier atacante puede intentar explotar esta vulnerabilidad y realizar acciones fraudulentas. Esto pone mucha presión sobre Microsoft, que debería publicar el parche lo antes posible para evitar que los atacantes exploten esta vulnerabilidad".
En este sentido, Vojtěšek considera que "lamentablemente, incluso los usuarios comunes corren el riesgo de ser víctimas y por eso recomendamos que apliquen el parche tan pronto como esté disponible. Aquellos que quieran tomar precauciones adicionales pueden desactivar el servicio de cola de impresión mientras tanto. Esto puede hacerse abriendo la pestaña Servicios en la Configuración del Sistema, desmarcando Print Spooler, haciendo clic en Aceptar y reiniciando el ordenador. Sin embargo, esto también podría limitar la capacidad de los usuarios para utilizar la impresora".
Al parecer, esta vulnerabilidad se descubrió accidentalmente cuando el equipo de investigadores de seguridad que encontró la vulnerabilidad, Sangfor, creyó por error que otra empresa de seguridad ya la había descubierto y publicado detalles sobre ella. Esto era incorrecto, la vulnerabilidad no había sido revelada antes de que Sangfor la hiciera pública por error.