KB5025885: كيفية إدارة إبطالات Windows Boot Manager لتغييرات التمهيد الآمن المقترنة ب CVE-2023-24932

في هذه المقالة

• الملخص

  • اتخاذ إجراء

  • نطاق التأثير

  • فهم المخاطر

  • المشكلات المعروفة

• إرشادات هذا الإصدار

• إرشادات توزيع التخفيف من المخاطر

• وسائط قابلة للتمهيد

• تحديث وسائط تثبيت Windows

• توقيت التحديثات

• أخطاء سجل أحداث Windows المتعلقة ب CVE-2023-24932

• الأسئلة المتداولة (FAQ)

• استكشاف مشكلات التمهيد وإصلاحها

• إجراء الاسترداد

• مراجع

• تغيير السجل

الملخص

توضح هذه المقالة الحماية من تجاوز ميزة أمان Secure Boot التي تم الكشف عنها بشكل عام والتي تستخدم Bootkit BlackLotus UEFI الذي تم تعقبه بواسطة CVE-2023-24932، وكيفية تمكين عوامل التخفيف، والتوجيهات على الوسائط القابلة للتمهيد. bootkit هو برنامج ضار تم تصميمه للتحميل في أقرب وقت ممكن في تسلسل تمهيد الأجهزة للتحكم في بدء تشغيل نظام التشغيل.

توصي Microsoft بالتمهيد الآمن لإنشاء مسار آمن وموثوق به من واجهة البرامج الثابتة الموسعة الموحدة (UEFI) من خلال تسلسل التمهيد الموثوق به ل Windows kernel. يساعد التمهيد الآمن على منع البرامج الضارة bootkit في تسلسل التمهيد. يؤدي تعطيل التمهيد الآمن إلى تعريض الجهاز لخطر الإصابة بالبرامج الضارة bootkit. يتطلب إصلاح تجاوز التمهيد الآمن الموضح في CVE-2023-24932 إبطال مديري التمهيد. قد يتسبب هذا في حدوث مشكلات لبعض تكوينات تمهيد الجهاز.

يتم تضمين عمليات التخفيف من المخاطر مقابل تجاوز التمهيد الآمن المفصلة في CVE-2023-24932 في تحديثات أمان Windows التي تم إصدارها في 9 يوليو 2024 أو بعده. ومع ذلك، لا يتم تمكين عوامل التخفيف هذه بشكل افتراضي. مع هذه التحديثات، نوصي بالبدء في تقييم هذه التغييرات داخل بيئتك. يتم وصف الجدول الزمني الكامل في قسم توقيت التحديثات .

قبل تمكين عوامل التخفيف هذه، يجب عليك مراجعة التفاصيل الواردة في هذه المقالة بدقة وتحديد ما إذا كان عليك تمكين عوامل التخفيف أو انتظار تحديث مستقبلي من Microsoft. إذا اخترت تمكين عوامل التخفيف، فيجب عليك التحقق من تحديث أجهزتك وجاهزتها، وفهم المخاطر الموضحة في هذه المقالة. 

إرشادات هذا الإصدار

لهذا الإصدار، اتبع هاتين الخطوتين.

الخطوة 1: تثبيت تحديث

أمان Windows قم بتثبيت تحديث الأمان الشهري ل Windows الذي تم إصداره في 9 يوليو 2024 أو بعده على أجهزة Windows المدعومة. تتضمن هذه التحديثات عوامل التخفيف من المخاطر ل CVE-2023-24932 ولكن لا يتم تمكينها بشكل افتراضي. يجب أن تكمل جميع أجهزة Windows هذه الخطوة سواء كنت تخطط لتوزيع عوامل التخفيف أم لا.

الخطوة 2: تقييم التغييرات

نحن نشجعك على القيام بما يلي:

• فهم أول اثنين من عوامل التخفيف التي تسمح بتحديث Secure Boot DB وتحديث مدير التمهيد.

• راجع الجدول الزمني المحدث.

• ابدأ اختبار أول اثنين من عوامل التخفيف ضد الأجهزة التمثيلية من بيئتك.

• ابدأ التخطيط للتوزيع.

الخطوة 3: فرض التغييرات

نحن نشجعك على فهم المخاطر التي تم استدعاؤها في قسم فهم المخاطر.

• فهم تأثير الاسترداد والوسائط الأخرى القابلة للتمهيد.

• ابدأ اختبار التخفيف الثالث الذي لا يثق في شهادة التوقيع المستخدمة لجميع مديري تمهيد Windows السابقين.

إرشادات توزيع التخفيف من المخاطر

قبل اتباع هذه الخطوات لتطبيق عوامل التخفيف، قم بتثبيت تحديث خدمة Windows الشهري الذي تم إصداره في 9 يوليو 2024 أو بعده على أجهزة Windows المدعومة. يتضمن هذا التحديث عوامل التخفيف من المخاطر ل CVE-2023-24932 ولكن لا يتم تمكينها بشكل افتراضي. يجب أن تكمل جميع أجهزة Windows هذه الخطوة بغض النظر عن خطتك لتمكين عوامل التخفيف من المخاطر.

لنشر التحديث وتطبيق الإبطالات، اتبع الخطوات التالية:

1. تثبيت تعريفات الشهادة المحدثة إلى DB.

   ستضيف هذه الخطوة شهادة "Windows UEFI CA 2023" إلى UEFI "قاعدة بيانات توقيع التمهيد الآمن" (DB). بإضافة هذه الشهادة إلى DB، سيثق البرنامج الثابت للجهاز بتطبيقات التمهيد الموقعة بواسطة هذه الشهادة.

   1. افتح موجه أوامر المسؤول وقم بتعيين regkey لإجراء التحديث إلى DB عن طريق إدخال الأمر التالي:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      مهم تأكد من إعادة تشغيل الجهاز مرتين لإكمال تثبيت التحديث قبل المتابعة إلى الخطوتين 2 و3.

   2. قم بتشغيل أمر PowerShell التالي كمسؤول وتحقق من تحديث قاعدة البيانات بنجاح. يجب أن يرجع هذا الأمر True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. قم بتحديث Boot Manager على جهازك.

   ستقوم هذه الخطوة بتثبيت تطبيق مدير التمهيد على جهازك الذي تم توقيعه باستخدام شهادة "'Windows UEFI CA 2023".

   1. افتح موجه أوامر المسؤول وقم بتعيين regkey لتثبيت مدير التمهيد الموقع "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. أعد تشغيل الجهاز مرتين.

   3. كمسؤول، قم بتحميل قسم EFI لإعداده للفحص:

      mountvol s: /s

   4. تحقق من توقيع ملف "s:\efi\microsoft\boot\bootmgfw.efi" بواسطة شهادة "Windows UEFI CA 2023". للقيام بذلك، اتبع هذه الخطوات:

      1. انقر فوق بدء، واكتب موجه الأوامر في مربع البحث ، ثم انقر فوق موجه الأوامر.

      2. في نافذة موجه الأوامر ، اكتب الأمر التالي ثم اضغط على مفتاح الإدخال Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. في إدارة الملفات، انقر بزر الماوس الأيمن فوق الملف C:\bootmgfw_2023.efi، وانقر فوق خصائص، ثم حدد علامة التبويب التواقيع الرقمية .

      4. في قائمة التوقيع، تأكد من أن سلسلة الشهادات تتضمن Windows UEFI CA 2023. يجب أن تتطابق سلسلة الشهادات مع لقطة الشاشة التالية:
         
         

3. تمكين الإبطال.

   يتم استخدام قائمة UEFI المحظورة (DBX) لمنع تحميل وحدات UEFI غير الموثوق بها. في هذه الخطوة، سيؤدي تحديث DBX إلى إضافة شهادة "Windows Production CA 2011" إلى DBX. سيؤدي هذا إلى عدم الوثوق بجميع مديري التمهيد الموقعين من قبل هذه الشهادة.

   تحذير: قبل تطبيق التخفيف الثالث، قم بإنشاء محرك أقراص محمول للاسترداد يمكن استخدامه لتشغيل النظام. للحصول على معلومات حول كيفية القيام بذلك، راجع قسم تحديث وسائط تثبيت Windows.

   إذا دخل نظامك في حالة غير قابلة للتمهيد، فاتبع الخطوات الواردة في قسم إجراء الاسترداد لإعادة تعيين الجهاز إلى حالة إبطال مسبق.

   1. أضف شهادة "Windows Production PCA 2011" إلى قائمة Secure Boot UEFI المحظورة (DBX). للقيام بذلك، افتح نوافذ موجه الأوامر كمسؤول، واكتب الأمر التالي، ثم اضغط على مفتاح الإدخال Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. أعد تشغيل الجهاز مرتين وتأكد من إعادة تشغيله بالكامل.

   3. تحقق من تطبيق قائمة التثبيت والإبطال بنجاح من خلال البحث عن الحدث 1037 في سجل الأحداث.
      
      للحصول على معلومات حول الحدث 1037، راجع KB5016061: أحداث تحديث متغير التمهيد الآمن DB وDBX. أو قم بتشغيل أمر PowerShell التالي كمسؤول وتأكد من إرجاع True:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011' 

4. تطبيق تحديث SVN على البرنامج الثابت.
   
   يحتوي Boot Manager المنشور في الخطوة 2 على ميزة إبطال ذاتي جديدة مضمنة. عند بدء تشغيل Boot Manager، فإنه يقوم بإجراء فحص ذاتي عن طريق مقارنة رقم الإصدار الآمن (SVN) المخزن في البرنامج الثابت، مع SVN المضمن في Boot Manager. إذا كان Boot Manager SVN أقل من SVN المخزن في البرنامج الثابت، فسيرفض Boot Manager التشغيل. تمنع هذه الميزة المهاجم من التراجع عن Boot Manager إلى إصدار أقدم غير محدث.
   
   في التحديثات المستقبلية، عند إصلاح مشكلة أمان كبيرة في Boot Manager، سيتم زيادة رقم SVN في كل من Boot Manager والتحديث إلى البرنامج الثابت. سيتم إصدار كلا التحديثين في نفس التحديث التراكمي للتأكد من حماية الأجهزة المصححة. في كل مرة يتم فيها تحديث SVN، ستحتاج أي وسائط قابلة للتمهيد إلى تحديثها.
   
   بدءا من 9 يوليو 2024، التحديثات، يتم زيادة SVN في Boot Manager وتحديث البرنامج الثابت. تحديث البرنامج الثابت اختياري ويمكن تطبيقه باتباع الخطوات التالية:

   1. افتح موجه أوامر المسؤول وقم بتشغيل الأمر التالي لتثبيت مدير التمهيد الموقع "Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. أعد تشغيل الجهاز مرتين.

وسائط قابلة للتمهيد

سيكون من المهم تحديث الوسائط القابلة للتمهيد بمجرد بدء مرحلة التوزيع في بيئتك.

إرشادات لتحديث الوسائط القابلة للتمهيد تأتي مع التحديثات المستقبلية لهذه المقالة. راجع القسم التالي لإنشاء محرك أقراص USB لاسترداد جهاز.

تحديث وسائط تثبيت Windows

يمكنك استخدام تطبيق Create Recovery Drive باتباع هذه الخطوات. يمكن استخدام هذه الوسائط لإعادة تثبيت جهاز في حالة وجود مشكلة رئيسية مثل فشل الأجهزة، ستتمكن من استخدام محرك أقراص الاسترداد لإعادة تثبيت Windows.

1. انتقل إلى جهاز تم فيه تطبيق تحديثات 9 يوليو 2024 وخطوة التخفيف الأولى (تحديث قاعدة بيانات التمهيد الآمن).

2. من قائمة البدء ، ابحث عن لوحة التحكم "إنشاء محرك أقراص استرداد" واتبع الإرشادات لإنشاء محرك أقراص للاسترداد.

3. مع تثبيت محرك الأقراص المحمول الذي تم إنشاؤه حديثا (على سبيل المثال، كمحرك الأقراص "D:")، قم بتشغيل الأوامر التالية كمسؤول. اكتب كل أمر من الأوامر التالية، ثم اضغط على مفتاح الإدخال Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

إذا قمت بإدارة الوسائط القابلة للتثبيت في بيئتك باستخدام تحديث وسائط تثبيت Windows مع إرشادات التحديث الديناميكي ، فاتبع هذه الخطوات. ستقوم هذه الخطوات الإضافية بإنشاء محرك أقراص محمول قابل للتمهيد يستخدم ملفات التمهيد الموقعة من قبل شهادة توقيع "Windows UEFI CA 2023".

1. انتقل إلى جهاز حيث تم تطبيق التحديثات في 9 يوليو 2024 وخطوة التخفيف الأولى (تحديث قاعدة بيانات التمهيد الآمن).

2. اتبع الخطوات الواردة في الارتباط أدناه لإنشاء وسائط مع تحديثات 9 يوليو 2024. تحديث وسائط تثبيت Windows باستخدام التحديث الديناميكي

3. ضع محتويات الوسائط على محرك أقراص USB الإبهام وقم بتحميل محرك الأقراص الإبهام كحرف محرك أقراص. على سبيل المثال، قم بتحميل محرك أقراص الإبهام ك "D:".

4. قم بتشغيل الأوامر التالية من نافذة أوامر كمسؤول. اكتب كل أمر من الأوامر التالية، ثم اضغط على مفتاح الإدخال Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

إذا كان الجهاز يحتوي على إعدادات التمهيد الآمن إعادة تعيين إلى الإعدادات الافتراضية بعد تطبيق عوامل التخفيف، فلن يتم تمهيد الجهاز. لحل هذه المشكلة، يتم تضمين تطبيق إصلاح مع تحديثات 9 يوليو 2024 التي يمكن استخدامها لإعادة تطبيق شهادة "Windows UEFI CA 2023" على DB (التخفيف #1).

1. انتقل إلى جهاز تم فيه تطبيق تحديثات 9 يوليو 2024.

2. في نافذة الأوامر، انسخ تطبيق الاسترداد إلى محرك الأقراص المحمول باستخدام الأوامر التالية (بافتراض أن محرك الأقراص المحمول هو محرك الأقراص "D:"). اكتب كل أمر على حدة ثم اضغط على مفتاح الإدخال Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. على الجهاز الذي تمت إعادة تعيين إعدادات التمهيد الآمن إلى الإعدادات الافتراضية، قم بإدراج محرك الأقراص المحمول وإعادة تشغيل الجهاز والتمهيد من محرك الأقراص المحمول.

توقيت التحديثات

يتم إصدار التحديثات على النحو التالي:

• التوزيع الأولي بدأت هذه المرحلة بالتحديثات التي تم إصدارها في 9 مايو 2023، وقدمت عوامل التخفيف الأساسية مع الخطوات اليدوية لتمكين عمليات التخفيف هذه.

• التوزيع الثاني بدأت هذه المرحلة بالتحديثات التي تم إصدارها في 11 يوليو 2023، والتي أضافت خطوات مبسطة لتمكين التخفيف من حدة المشكلة.

• مرحلة التقييم ستبدأ هذه المرحلة في 9 أبريل 2024، وستضيف عوامل تخفيف إضافية لمدير التمهيد.

• مرحلة التوزيع هذا هو الوقت الذي نشجع فيه جميع العملاء على البدء في نشر عوامل التخفيف وتحديث الوسائط.

• مرحلة الإنفاذ مرحلة الإنفاذ التي ستجعل عوامل التخفيف دائمة. وسيتم الإعلان عن تاريخ هذه المرحلة في وقت لاحق.

‏ملاحظة يمكن مراجعة جدول الإصدار حسب الحاجة.

أخطاء سجل أحداث Windows المتعلقة ب CVE-2023-24932

يتم وصف إدخالات سجل أحداث Windows المتعلقة بتحديث DB وDBX بالتفصيل في KB5016061: أحداث تحديث متغير التمهيد الآمن وDBX.

يتم سرد أحداث "النجاح" المتعلقة بتطبيق عوامل التخفيف في الجدول التالي.

الأسئلة المتداولة (FAQ)

استكشاف مشكلات التمهيد وإصلاحها

بعد تطبيق جميع عوامل التخفيف الثلاثة، لن يتم تشغيل البرنامج الثابت للجهاز باستخدام مدير تمهيد موقع من قبل Windows Production PCA 2011. حالات فشل التمهيد التي أبلغ عنها البرنامج الثابت خاصة بالجهاز. يرجى الرجوع إلى قسم إجراء الاسترداد .

إجراء الاسترداد

إذا حدث خطأ ما أثناء تطبيق عوامل التخفيف من المخاطر ولم تتمكن من بدء تشغيل جهازك أو كنت بحاجة إلى البدء من الوسائط الخارجية (مثل محرك أقراص الإبهام أو تمهيد PXE)، فجرب الاقتراحات التالية:

1. إيقاف تشغيل التمهيد الآمن.
   
   يختلف هذا الإجراء بين الشركات المصنعة للأجهزة والنماذج. أدخل قائمة UEFI BIOS لأجهزتك وانتقل إلى إعدادات التمهيد الآمن وقم بإيقاف تشغيلها. تحقق من الوثائق من الشركة المصنعة لجهازك للحصول على تفاصيل حول هذه العملية. يمكن العثور على مزيد من التفاصيل في تعطيل التمهيد الآمن.

2. إعادة تعيين مفاتيح التمهيد الآمن إلى الإعدادات الافتراضية للمصنع.

   إذا كان الجهاز يدعم إعادة تعيين مفاتيح التمهيد الآمنة إلى الإعدادات الافتراضية للمصنع، فنفذ هذا الإجراء الآن.

   ملاحظه لدى بعض الشركات المصنعة للأجهزة خيار "مسح" و"إعادة تعيين" لمتغيرات التمهيد الآمن، وفي هذه الحالة يجب استخدام "إعادة التعيين". الهدف هو إعادة متغيرات التمهيد الآمن إلى القيم الافتراضية للمصنعين.

   يجب أن يبدأ جهازك الآن ولكن لاحظ أنه عرضة للبرامج الضارة لمجموعة أدوات التمهيد. تأكد من إكمال الخطوة 5 من عملية الاسترداد هذه لإعادة تمكين التمهيد الآمن.

3. حاول بدء تشغيل Windows من قرص النظام.

   1. تسجيل الدخول إلى Windows.

   2. قم بتشغيل الأوامر التالية من موجه أوامر المسؤول لاستعادة ملفات التمهيد في قسم تمهيد نظام EFI. اكتب كل أمر على حدة ثم اضغط على مفتاح الإدخال Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. يؤدي تشغيل BCDBoot إلى إرجاع "تم إنشاء ملفات التمهيد بنجاح. " بعد عرض هذه الرسالة، أعد تشغيل الجهاز مرة أخرى إلى Windows.

4. إذا لم تسترد الخطوة 3 الجهاز بنجاح، فقم بإعادة تثبيت Windows.

   1. ابدأ تشغيل الجهاز من وسائط الاسترداد الموجودة.

   2. تابع لتثبيت Windows باستخدام وسائط الاسترداد.

   3. تسجيل الدخول إلى Windows.

   4. أعد تشغيل Windows للتحقق من أن الجهاز يبدأ مرة أخرى إلى Windows.

5. أعد تمكين التمهيد الآمن وأعد تشغيل الجهاز.
   
   أدخل قائمة UEFI للجهاز وانتقل إلى إعدادات التمهيد الآمن وقم بتشغيله. تحقق من الوثائق من الشركة المصنعة لجهازك للحصول على تفاصيل حول هذه العملية. يمكن العثور على مزيد من المعلومات في قسم "إعادة تمكين التمهيد الآمن".

مراجع

• إرشادات للتحقيق في الهجمات باستخدام CVE-2022-21894: حملة BlackLotus

• التمهيد الآمن

• تمكين التمهيد الآمن على أجهزة Windows المسجلة

• بالنسبة للأحداث التي يتم إنشاؤها عند تطبيق تحديثات DBX، راجع KB5016061: معالجة مديري التمهيد المعرضين للخطر والمبطلين.