Что такое Windows Print Spooler? Это служба, которая используется для поиска принтеров в сети, загрузки драйверов и отправки на печать. 8 июня Microsoft описала CVE-2021-1675 как уязвимость с возможностью повышения привилегий. Однако, уже 21 июня данная уязвимость получила статус критической с возможностью выполнения удалённого кода, и новую CVE-2021-34527. Экстренный патч, выпущенный Microsoft, исправил уязвимость с выполнением удалённого кода, но всё ещё оставалась возможность локальной эксплуатации для получения прав SYSTEM. Однако, самым негативным в этой ситуации является то, что уже существует PoC-эксплоит, и зафиксированы атаки in the wild. Были ли атакующие ИБ-исследователями или злоумышленниками, неизвестно. 7 июля компания из Рэдмонд выпустила второй патч, закрывающий уязвимость PrintNightmare. Поэтому администраторам систем рекомендуется поставить обновления безопасности как можно скорее. Тем же, кто, по каким-то причинам не может этого сделать в ближайшее время, рекомендуется отключить Print Spooler, заблокировав локальную и удалённую печать. Особенно это касается контроллеров доменов, так как RCE позволяет выполнить код с правами SYSTEM. Другой вариант - это отключение в GPO удалённой печати, что позволит печатать локально с устройств, подключенных напрямую, но заблокирует возможность удалённой печати.
https://redmondmag.com/articles/2021/06/30/microsoft-print-spool-patch.aspx 
https://msrc.microsoft.com/update-guide/ru-ru/vulnerability/CVE-2021-34527
Какие угрозы несет в себе данная уязвимость для реальной инфраструктуры организации? Это один из самых опасных типов компьютерных уязвимостей, ведь ее эксплуатация позволяет дистанционно по локальной сети или через интернет запустить вредоносный код в целевой системе. Т.е., физического доступа злоумышленника к самому устройству не требуется. В результате эксплуатации RCE-уязвимости взломщик может перехватить управление системой или ее отдельными компонентами, а также украсть, зашифровать конфиденциальные данные и т.д. В зависимости от того, в каких бизнес-функциях задействована целевая система, последствия для организации могут быть колоссальными и самыми непредсказуемыми - остановка производства, угроза техногенной катастрофы, компрометация базы клиентов, персональных данных, ноу-хау и т.п. Бизнес понесёт чувствительные репутационные и финансовые издержки. 

Но только удалось одолеть PrintNightmare, как исследователями была обнаружена новая уязвимость. Оказалось, что все версии Windows 10, начиная с 1809, а также Windows 11 уязвимы к локальному повышению привилегий CVE-2021-36934. Иследователь в сфере ИБ Jonas Lykkegaard сообщил, что файлы Security Account Manager (SAM) и другие базы данных регистра Windows доступны группе Пользователей, которая имеет низкие привилегии на устройстве. Данная уязвимость позволяет злоумышленнику извлечь NTLM-хэши паролей для всех учётных записей на устройстве и использовать их для проведения атаки pass-the-hash.
Так как SAM-файлы всегда используются операционной системой, если попытаться получить к ним доступ, то система сообщит, что файлы открыты и заняты другой программой. Однако, Windows периодически создаёт теневые копии файлов регистра, в том числе SAM, и можно получить доступ к ним без необходимых привилегий.
На данный момент Microsoft только работают над патчем и рекомендуют ограничить доступ к проблемной папке, а также удалять теневые копии. На гитхабе уже опубликован PoC эксплоит https://github.com/GossiTheDog/HiveNightmare для администраторов, чтобы они могли проверить, какие из их систем уязвимы к CVE-2021-36934.
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36934
https://www.bleepingcomputer.com/news/microsoft/new-windows-10-vulnerability-allows-anyone-to-get-admin-privileges/
Так как данная уязвимость позволяет получить хэши паролей, то проникновение в систему можно организовать даже при отсутствии паролей, что существенно облегчает поиск привилегированных аутентификационных данных. Если же удастся получить хэш администратора домена, то домен будет полностью скомпрометирован. Контроль от него перейдёт в руки злоумышленника, что повлечёт не менее серьёзные последствия, чем от вышеописанной уязвимости. 

BONUS И, наконец, самая "свежая" уязвимость в операционных системах компании Microsoft. Её обнаружил французский исследователь в области кибербезопасности Жиль Лионель (Gilles Lionel). Ее эксплуатация заставляет удаленные серверы Windows инициировать процесс аутентификации и затем отправлять хакеру данные аутентификации NTLM или сертификаты аутентификации. Проблема получила название PetitPotam, и на GitHub (https://github.com/topotam/PetitPotam) уже опубликован PoC по её эксплуатации. Специалисты Microsoft предупреждают, что PetitPotam может использоваться для атак на контроллеры доменов и серверы под управлением ОС Windows. Суть атаки заключается в том, что злоумышленник путём отправки SMB-запросов на интерфейс MS-EFSRPC удаленной системы может заставить компьютер инициировать процедуру аутентификации и поделиться своими данными аутентификации. С помощью полученных данных преступник может осуществлять атаки ретрансляции NTLM для получения доступа к удаленным системам в той же внутренней сети.
Вы потенциально уязвимы к атаке, если в Вашем домене используется NTLM-аутентификация, а так же Active Directory Certificate Services (AD CS) с любым из следующих сервисов:
Certificate Authority Web Enrollment
Certificate Enrollment Web Service
https://msrc.microsoft.com/update-guide/vulnerability/ADV210003
https://www.securitylab.ru/news/522677.php
Несанкционированная авторизация на АРМ, включенном в локальную сеть (в частности, с помощью данной уязвимости) ВСЕГДА ведёт к компрометации самого АРМ и практически всегда сегмента сети или всей ЛВС. Даже если АРМ не участвует в значимых бизнес-процессах компании, не содержит чувствительных для компании данных, для злоумышленника всегда половиной успеха считается возможность "закрепиться" в системе для дальнейшей корректировки и реализации векторов атак.