MS-RPRN

Définition

MS-RPRN (Print System Remote Protocol) est un protocole RPC Windows permettant la gestion et l'interaction à distance avec le service Spouleur d'impression, incluant l'installation de pilotes, la gestion des files d'impression et la notification de changements d'état d'une imprimante partagée sur le réseau. Ce protocole a acquis une notoriété offensive majeure via deux vecteurs d'attaque distincts mais liés : d'une part la technique de coercion connue sous le nom de Printerbug ou SpoolSample, exploitant la méthode RpcRemoteFindFirstPrinterChangeNotification pour forcer un serveur Windows à s'authentifier auprès d'une machine contrôlée par l'attaquant, et d'autre part les vulnérabilités PrintNightmare (CVE-2021-34527 et CVE-2021-1675), exploitant la méthode RpcAddPrinterDriverEx pour installer un pilote malveillant et exécuter du code arbitraire avec les privilèges SYSTEM du service. Ces deux familles de vulnérabilités, bien que techniquement distinctes, partagent une même surface d'exposition : le service Spouleur d'impression activé par défaut sur de nombreux systèmes Windows, y compris historiquement sur les contrôleurs de domaine où aucun besoin fonctionnel réel d'impression n'existe généralement. La recommandation de durcissement la plus fréquemment appliquée consiste à désactiver purement et simplement ce service sur l'ensemble des serveurs sans besoin d'impression avéré, en particulier les contrôleurs de domaine, réduisant ainsi drastiquement la surface d'attaque exposée par MS-RPRN dans l'environnement Active Directory.