KB5025885: Как да управлявате анулиранията на диспечера за зареждане на Windows за промени в защитеното стартиране, свързани с CVE-2023-24932

В тази статия

• Резюме

  • Предприемане на действие

  • Обхват на въздействието

  • Разбиране на рисковете

  • Известни проблеми

• Указания за това издание

• Указания за разполагане на смекчаване

• Стартов носител

• Актуализиране на носител за инсталиране на Windows

• Време на актуализациите

• Грешки в регистъра на събитията на Windows, свързани с CVE-2023-24932

• Често задавани въпроси (ЧЗВ)

• Отстраняване на проблеми при стартиране

• Процедура по възстановяване

• Справочни материали

• Регистрационен файл на промените

Резюме

Тази статия описва защитата срещу публично оповестената функция за защита на защитеното стартиране заобикаляне, която използва комплекта за стартиране BlackLotus UEFI, проследяван от CVE-2023-24932, как да разрешите предпазните мерки и указания за стартов носител. Bootkit е злонамерена програма, която е предназначена да се зарежда възможно най-рано в последователността за стартиране на устройства за управление на стартирането на операционната система.

Защитеното стартиране се препоръчва от Microsoft да направи безопасен и надежден път от унифициран разширяем интерфейс за фърмуер (UEFI) чрез последователността на надеждно стартиране на ядрото на Windows. Защитеното стартиране помага за предотвратяване на злонамерен софтуер bootkit в последователността на зареждане. Забраняването на защитеното стартиране поставя дадено устройство в риск от заразяване със злонамерен софтуер bootkit. Коригирането на заобикалянето на защитеното стартиране, описано в CVE-2023-24932, изисква анулиране на диспечерите за стартиране. Това може да доведе до проблеми при някои конфигурации за зареждане на устройството.

Предпазни мерки срещу заобикаляне на защитеното стартиране, подробно описани в CVE-2023-24932 , са включени в актуализациите на защитата на Windows, които са издадени на или след 9 април 2024 г. Въпреки това тези предпазни мерки не са разрешени по подразбиране. С тези актуализации ви препоръчваме да започнете да оценявате тези промени във вашата среда. Пълният график е описан в раздела Време на актуализациите .

Преди да разрешите тези смекчавания, трябва внимателно да прегледате подробностите в тази статия и да определите дали трябва да разрешите предпазните мерки, или да изчакате бъдеща актуализация от Microsoft. Ако изберете да разрешите предпазните мерки, трябва да се уверите, че вашите устройства са актуализирани и готови и да разберете рисковете, описани в тази статия. 

Указания за това издание

За това издание изпълнете следните две стъпки.

Стъпка 1: Инсталиране на актуализацията

на защитата на Windows Инсталирайте месечната актуализация на защитата на Windows, издадена на или след 9 април 2024 г., на поддържани устройства с Windows. Тези актуализации включват смекчавания за CVE-2023-24932, но не са разрешени по подразбиране. Всички устройства с Windows трябва да изпълнят тази стъпка независимо дали планирате да разположите предпазните мерки.

Стъпка 2: Изчисляване на промените

Препоръчваме ви да направите следното:

• Разберете първите две смекчавания, които позволяват актуализиране на базата данни за защитено стартиране и актуализиране на диспечера за зареждане.

• Прегледайте актуализирания график.

• Започнете да тествате първите две смекчавания на последствията срещу представителни устройства от вашата среда.

• Започнете планирането на фазата на разполагане, която ще бъде на 9 юли 2024 г.

Стъпка 3: Прилагане на промените

Препоръчваме ви да разберете рисковете, посочени в раздела Разбиране на рисковете.

• Разберете въздействието върху възстановяването и друг стартов носител.

• Започнете да тествате третото смекчаване, което ненадеждно издава сертификата за подписване, използван за всички предишни диспечери за стартиране на Windows.

Указания за разполагане на смекчаване

Преди да изпълните тези стъпки за прилагане на предпазни мерки, инсталирайте месечната актуализация за обслужване на Windows, издадена на или след 9 април 2024 г., на поддържани устройства с Windows. Тази актуализация включва смекчавания за CVE-2023-24932, но те не са разрешени по подразбиране. Всички устройства с Windows трябва да изпълнят тази стъпка независимо от вашия план за разрешаване на предпазните мерки.

За да разположите актуализацията и да приложите анулираните, изпълнете следните стъпки:

1. Инсталирайте актуализираните дефиниции на сертификати на базата данни.

   Тази стъпка ще добави сертификата "Windows UEFI CA 2023" към UEFI "База данни за подпис на защитено стартиране" (DB). Чрез добавянето на този сертификат към базата данни фърмуерът на устройството ще се довери на приложенията за стартиране, подписани от този сертификат.

   1. Отворете команден прозорец на администратор и задайте regkey да извърши актуализацията на базата данни чрез въвеждане на следната команда:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      ВАЖНО Не забравяйте да рестартирате устройството два пъти, за да завършите инсталирането на актуализацията, преди да продължите със стъпки 2 и 3.

   2. Изпълнете следната команда на PowerShell като администратор и проверете дали базата данни е актуализирана успешно. Тази команда трябва да върне True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Актуализирайте диспечера за зареждане на вашето устройство.

   Тази стъпка ще инсталира приложение на диспечера за зареждане на вашето устройство, което е подписано със сертификата "Windows UEFI CA 2023".

   1. Отворете команден прозорец на администратор и задайте regkey за инсталиране на диспечера за зареждане, подписан с "Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Рестартирайте устройството два пъти.

   3. Като администратор, монтирайте дяла EFI, за да го подготвите за проверка:

      mountvol s: /s

   4. Проверете дали файлът "s:\efi\microsoft\boot\bootmgfw.efi" е подписан от сертификата "Windows UEFI CA 2023". За да направите това, следвайте тези стъпки:

      1. Щракнете върху Старт, въведете команден прозорец в полето Search и след това щракнете върху Команден прозорец.

      2. В прозореца Команден прозорец въведете следната команда и след това натиснете Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Във File Manager щракнете с десния бутон върху файла C:\bootmgfw_2023.efi, щракнете върху Свойства и след това изберете раздела Цифрови подписи .

      4. В списъка Подпис потвърдете, че веригата от сертификати включва Windows UEFI CA 2023. Веригата от сертификати трябва да съответства на следната екранна снимка:
         
         

3. Разрешаване на анулирането.

   Списъкът от забранени UEFI (DBX) се използва за блокиране на зареждането на ненадеждни UEFI модули. В тази стъпка актуализирането на DBX ще добави сертификата "Windows Production CA 2011" към DBX. Това ще доведе до това всички диспечери за стартиране, подписани от този сертификат, вече да не са надеждни.

   ПРЕДУПРЕЖДЕНИЕ: Преди да приложите третото смекчаване, създайте флаш устройство за възстановяване, което може да се използва за зареждане на системата. За информация как да направите това, вижте раздела Актуализиране на носител за инсталиране на Windows.

   Ако системата ви попадне в състояние, което не е стартиращо, следвайте стъпките в раздела Процедура по възстановяване, за да нулирате устройството до състояние на предварително анулиране.

   1. Добавете сертификата "Windows Production PCA 2011" към списъка със забранени UEFI на защитено стартиране (DBX). За да направите това, отворете команден прозорец като администратор, въведете следната команда и след това натиснете Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Рестартирайте устройството два пъти и се уверете, че е рестартирано напълно.

   3. Проверете дали списъкът за инсталиране и анулиране е приложен успешно, като потърсите събитие 1037 в регистъра на събитията.
      
      За информация относно събитие 1037 вижте KB5016061: Събития за актуализация на защитено стартиране на DB и DBX променливи. Или изпълнете следната команда на PowerShell като администратор и се уверете, че връща True:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Стартов носител

Ще бъде важно да актуализирате стартов носител, след като фазата на разполагане започне във вашата среда. Указания и инструменти за актуализиране на мултимедия ще бъдат предоставени навреме за фазата на разполагане. Планирано е фазата на разполагане да започне на 9 юли 2024 г.

Примери за стартов носител и носител за възстановяване, засегнати от този проблем:

• Стартов носител, създаден с помощта на Създаване на устройство за възстановяване.

• Архивни копия на Windows, които са били изображения преди прилагането на предпазните мерки. Те няма да могат да бъдат директно използваеми за възстановяване на вашата инсталация на Windows, след като анулиранията са разрешени на вашето устройство.

• Персонализиран дял за CD/DVD или възстановяване, създаден от вас, производителя на вашето устройство (OEM) или предприятия.

• ISO (чрез изтегляне или с помощта на ADK).

• Стартиране на мрежата:

  • Услуги за разполагане на Windows.

  • Услуги за стартиране на среда за изпълнение на предварително стартиране (услуги за стартиране на PXE).

  • Microsoft Deployment Toolkit.

  • Стартиране на HTTPS.

• OEM инсталационен носител и носител за възстановяване.

• Официална мултимедия на Windows от Microsoft, включително:

  • Търговски медии.

  • Инструмент за създаване на носители (ISO или USB устройство за съхранение).

  • VLSC.

  • Изтегляния на абонат на Visual Studio.

  • USB устройство за съхранение.

• Windows PE.

• Windows е инсталиран на физически хардуерни или виртуални машини.

• Ос за проверка на Windows.

Ако използвате стартов носител с лично устройство с Windows, може да се наложи да направите едно или няколко от следните неща, преди да приложите анулираните файлове:

• Ако използвате личен софтуер за архивиране, за да запишете съдържанието на вашето устройство, не забравяйте да изпълните пълно архивиране след прилагане на предпазни мерки от 9 април 2024 г.

• Ако използвате образ на стартиращ диск (ISO), CD-ROM или DVD носител, актуализирайте носителя, като следвате инструкциите, които трябва да бъдат предоставени на по-късна дата.

Корпоративни

• Вижте подробни указания и скриптове за актуализиране на инсталационен носител на Windows с динамична актуализация.

• Ако поддържате сценарии за стартиране или възстановяване на мрежата във вашата среда, ще трябва да актуализирате всички мултимедийни файлове и изображения. Това може да включва следните опции за стартиране или възстановяване:

  • Microsoft Deployment Toolkit.

  • Microsoft Endpoint Configuration Manager.

  • Услуги за разполагане на Windows.

  • PxE Boot.

  • Стартиране на HTTPS и други сценарии за стартиране на мрежата.

• Един от начините да направите това е да използвате инсталирането на DISM офлайн пакет на изображенията, които се обслужват от тези сценарии. Това включва актуализиране на файловете за стартиране, които се предлагат от тези услуги.

• Ако използвате софтуер за архивиране, за да запишете съдържанието на вашата инсталация на Windows в системен образ за възстановяване, не забравяйте да изпълните пълно архивиране след прилагане на предпазни мерки от 9 април 2024 г. Не забравяйте да архивирате дяла на EFI диска в допълнение към дяла на операционната система Windows. Ясно идентифицирайте архивните копия, направени преди прилагането на предпазни мерки от 9 април 2024 г., в сравнение с тези, направени след прилагането на предпазните мерки.

OEM за компютри с Windows

• Вижте подробни указания и скриптове за актуализиране на инсталационен носител на Windows с динамична актуализация.

Актуализиране на носител за инсталиране на Windows

Можете да използвате приложението "Създаване на устройство за възстановяване" , като следвате тези стъпки. Този носител може да се използва за преинсталиране на устройство, в случай че има сериозен проблем, като например отказ на хардуера, ще можете да използвате устройството за възстановяване, за да преинсталирате Windows.

1. Отидете на устройство, където са приложени актуализациите от 9 април 2024 г. и първата стъпка за смекчаване (актуализиране на базата данни за защитено стартиране).

2. От менюто "Старт" потърсете аплета на контролния панел "Създаване на устройство за възстановяване" и следвайте инструкциите, за да създадете устройство за възстановяване.

3. С новосъздаденото флаш устройство, монтирано (например като устройство "D:"), изпълнете следните команди като администратор. Въведете всяка от следните команди и след това натиснете клавиша Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ако управлявате инсталационен носител във вашата среда с помощта на инсталационния носител за Актуализиране на Windows с указания за динамична актуализация , следвайте тези стъпки. Тези допълнителни стъпки ще създадат стартово флаш устройство, което използва файлове за стартиране, подписани от сертификата за подписване на "Windows UEFI CA 2023".

1. Отидете на устройство, където е приложена актуализацията от 9 април 2024 г. и първата стъпка за смекчаване (актуализиране на базата данни за защитено стартиране).

2. Следвайте стъпките във връзката по-долу, за да създадете мултимедия с актуализациите от 9 април 2024 г. Актуализиране на инсталационен носител на Windows с динамична актуализация

3. Поставете съдържанието на мултимедията на USB флаш устройство и монтирайте преносимото устройство като буква на устройство. Например монтирайте преносимото устройство като "D:".

4. Изпълнете следните команди от команден прозорец като администратор. Въведете всяка от следните команди и след това натиснете клавиша Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ако дадено устройство има настройки за защитено стартиране, които се нулират до настройките по подразбиране след прилагането на смекчаванията, устройството няма да се стартира. За да разрешите този проблем, приложението за поправка е включено в актуализациите от 9 април 2024 г., които могат да се използват за повторно прилагане на сертификата "Windows UEFI CA 2023" към базата данни за защита (смекчаване #1).

1. Отидете на устройство, където са приложени актуализациите от 9 април 2024 г.

2. В команден прозорец копирайте приложението за възстановяване на флаш устройството с помощта на следните команди (ако флаш устройството е устройството D:). Въведете всяка команда поотделно и след това натиснете Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. На устройството, което има настройките на защитеното стартиране, се нулира до настройките по подразбиране, поставете флаш устройството, рестартирайте устройството и стартирайте от флаш устройството.

Време на актуализациите

Актуализации се издават по следния начин:

• Първоначално разполагане Тази фаза започна с актуализации, издадени на 9 май 2023 г., и предостави основни смекчавания с ръчни стъпки за разрешаване на тези смекчавания.

• Второ разполагане Тази фаза започна с актуализации, издадени на 11 юли 2023 г., които добавиха опростени стъпки за разрешаване на предпазни мерки за проблема.

• Фаза на оценка Тази фаза ще стартира на 9 април 2024 г. и ще добави допълнителни смекчавания на последствията за диспечера за стартиране.

• Крайна фаза на разполагане Това е моментът, в който ще насърчим всички клиенти да започнат да разполагат предпазни мерки и да актуализират мултимедията.

• Етап на прилагане Етапът на прилагане, който ще направи предпазните мерки постоянни. Датата за тази фаза ще бъде обявена на по-късна дата.

Забележка Графикът за издаване може да бъде коригиран, ако е необходимо.

Грешки в регистъра на събитията на Windows, свързани с CVE-2023-24932

Записите в регистъра на събитията на Windows, свързани с актуализирането на базата данни и DBX, са описани подробно в KB5016061: Събития за актуализация на защитено стартиране на база данни и променлива DBX.

Събитията "успех", свързани с прилагането на смекчаванията, са изброени в следващата таблица.

Често задавани въпроси (ЧЗВ)

Отстраняване на проблеми при стартиране

След като са приложени и трите смекчавания, фърмуерът на устройството няма да се стартира с помощта на диспечер за зареждане, подписан от Windows Production PCA 2011. Грешките при стартиране, съобщени от фърмуера, са специфични за устройството. Вижте раздела Процедура по възстановяване .

Процедура по възстановяване

Ако нещо се обърка при прилагането на смекчаванията и не можете да стартирате вашето устройство или трябва да стартирате от външен носител (като например преносимо устройство или PXE зареждане), опитайте следните предложения:

1. Изключете защитеното стартиране.
   
   Тази процедура се различава между производителите и моделите на устройствата. Въведете вашите устройства UEFI BIOS меню и отидете до настройките на защитеното стартиране и го изключете. Проверете документацията от производителя на вашето устройство за подробности за този процес. Повече подробности можете да намерите в Забраняване на защитеното стартиране.

2. Нулиране на ключовете на защитеното стартиране до фабричните настройки по подразбиране.

   Ако устройството поддържа нулиране на ключовете за защитено стартиране до фабричните настройки по подразбиране, извършете това действие сега.

   ЗАБЕЛЕЖКА Някои производители на устройства имат както опция "Изчистване", така и опция "Нулиране" за променливи на защитеното стартиране, в който случай трябва да се използва "Нулиране". Целта е да се върнат променливите на защитеното стартиране обратно към стойностите по подразбиране на производителя.

   Вашето устройство трябва да се стартира сега, но имайте предвид, че е уязвимо за злонамерен софтуер за стартиране на комплекта. Не забравяйте да изпълните стъпка 5 от този процес на възстановяване, за да активирате отново защитеното стартиране.

3. Опитайте да стартирате Windows от системния диск.

   1. Влизане в Windows.

   2. Изпълнете следните команди от команден прозорец на администратора, за да възстановите файловете за стартиране на дяла за стартиране на EFI системата. Въведете всяка команда поотделно и след това натиснете Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Изпълнението на BCDBoot връща "Успешно създадени файлове за стартиране". След като се покаже това съобщение, рестартирайте устройството обратно към Windows.

4. Ако стъпка 3 не възстанови успешно устройството, преинсталирайте Windows.

   1. Стартирайте устройството от съществуващ носител за възстановяване.

   2. Продължете да инсталирате Windows с помощта на носителя за възстановяване.

   3. Влизане в Windows.

   4. Рестартирайте Windows, за да проверите дали устройството се стартира обратно към Windows.

5. Разрешете отново защитеното стартиране и рестартирайте устройството.
   
   Въведете менюто за UEFI на устройството, отидете до настройките за защитено стартиране и го включете. Проверете документацията от производителя на вашето устройство за подробности за този процес. Повече информация можете да намерите в раздела "Повторно разрешаване на защитеното стартиране".

Справочни материали

• Указания за проучване на атаки чрез CVE-2022-21894: Кампанията BlackLotus

• Защитено стартиране

• Разрешаване на защитеното стартиране на записани устройства с Windows

• За събития, които се генерират при прилагане на актуализации на DBX, вижте KB5016061: Адресиране на уязвими и анулирани диспечери за стартиране.