Windows Druck- und Scanfehler wegen Änderung der Smartcard-Authentifizierung

[English]Kurzer Hinweis für Administratoren in Unternehmensumgebungen. Falls es die kommenden Tage zu Druck- und Scanfehlern in den Netzwerken kommt, kann dies mit Änderungen in der Smartcard-Authentifizierung zusammenhängen, die Microsoft im Juli 2022 vorgenommen hat.

Patchday-Problem von Juli 2021

Im Juli 2021 hatte ich im Blog-Beitrag Windows 10: Juli 2021-Update kann Druckprobleme bei SmartCard-Authentifizierung verursachen über ein Patchday-Problem berichtet. Die am 13. Juli 2021 zum regulären Patchday freigegebenen Sicherheitsupdates für Windows 10 (siehe Patchday: Windows 10-Updates (13. Juli 2021)) können in bestimmten Szenarien Druckprobleme verursachen. Das Drucken und Scannen kann fehlschlagen, wenn diese Geräte eine Smartcard-Authentifizierung (PIV) verwenden.

Im Supportbeitrag für das kumulative Update KB5004237 für Windows 10 Version 2004/20H2/21H1 hat Microsoft im Abschnitt zu bekannten Fehlern inzwischen den folgenden Eintrag hinzugefügt:

Nach der Installation der am 13. Juli 2021 veröffentlichten Updates für DCs (DCs) in Ihrer Umgebung können Drucker, Scanner und Multifunktionsgeräte, die nicht mit Abschnitt 3.2.1 der RFC 4556-Spezifikation kompatibel sind, möglicherweise nicht gedruckt werden, wenn die Smartcard-Authentifizierung (PIV) verwendet wird.

Microsoft hat dazu den Supportbeitrag KB5005408 (Smartcard-Authentifizierung kann Druck- und Scanfehler verursachen) mit weiteren Details veröffentlicht. Der Hintergrund für die Druck- und Scanprobleme, falls Geräte die Smartcard-Authentifizierung (PIV) verwenden ist, dass Microsoft die betreffenden Teile von Windows in Bezug auf die Schwachstelle CVE-2021-33764 gehärtet hat.

Juli 2022-Update macht Druck- und Scan-Probleme

Im Windows Message Center findet sich der Eintrag Hardening changes coming 07/2022: Smart card authentication might cause print and scan failures vom 13. Juli 2022. Am 13. Juli 2021 veröffentlichte Microsoft Härtungsänderungen für die Windows Key Distribution Center Information Disclosure Schwachstelle CVE-2021-33764. Mit diesen Änderungen kann die Smartcard-Authentifizierung (PIV) zu Druck- und Scanfehlern führen, wenn Sie Updates, die am 13. Juli 2021 oder spätere Versionen veröffentlicht wurden, auf einem Domänencontroller (DC) installieren.

Bei den betroffenen Geräten handelt es sich um Drucker, Scanner und Multifunktionsgeräte mit Smartcard-Authentifizierung, die entweder Diffie-Hellman (DH) für den Schlüsselaustausch während der PKINIT-Kerberos-Authentifizierung nicht unterstützen oder die Unterstützung für des-ede3-cbc ("triple DES") während der Kerberos-AS-Anforderung nicht bekannt geben.

Für Unternehmen, die Probleme mit dem Fix für CVE-2021-33764 hatten, wurde für eine temporäre Entschärfung zwischen dem 29. Juli 2021 und dem 12. Juli 2022 per Windows Update bereitgestellt. Ab Juli 2022 wird diese vorübergehende Abschwächung jedoch nicht mehr in Sicherheitsupdates verwendet werden können. Mit dem Windows-Vorschau-Update vom Juli 2022 wird die temporäre Abschwächung entfernt und es werden konforme Druck- und Scan-Geräte benötigt.

Ab dem 19. Juli 2022 wird es in späteren Updates keine Fall-Back-Option (Ausweichoption) mehr geben, und alle nicht konformen Geräte müssen ab Januar 2022 mithilfe der Überprüfungsereignisse identifiziert und aktualisiert werden. Weitere Informationen finden Sie unter KB5005408: Smartcard-Authentifizierung kann zu Druck- und Scanfehlern führen. (via)