KB5042562: Guía para bloquear la reversión de actualizaciones de seguridad relacionadas con la seguridad basada en la virtualización (VBS)

En este artículo

• Resumen

• Alcance del impacto

• Mitigaciones disponibles

• Descripción de los riesgos de mitigación

• Directrices de implementación de mitigación

  • Implementar una directiva de modo auditoría

  • Implementación de una directiva de revocación firmada por Microsoft (SKUSIPolicy.p7b)

  • ​​​​​​​ ​​​​​​​Actualización de medios de arranque externo

• Registros de eventos de Windows

  • Eventos de activación de directiva

  • Eventos de auditoría y bloqueo

• Procedimiento de recuperación y eliminación de directivas

Resumen

Microsoft fue consciente de una vulnerabilidad de Windows que permite a un atacante con privilegios de administrador reemplazar archivos actualizados del sistema de Windows que tienen versiones anteriores, lo que abre la puerta a que un atacante pueda volver a introducir las vulnerabilidades a la seguridad basada en virtualización (VBS).  La reversión de estos archivos binarios podría permitir que un atacante sortee las características de seguridad de VBS y exfiltre los datos protegidos por VBS. Este problema se describe en CVE-2024-21302 | Vulnerabilidad de elevación de privilegios en modo kernel seguro de Windows.

Para resolver este problema, revocaremos los archivos de sistema VBS vulnerables que no se actualicen. Debido al gran número de archivos relacionados con VBS que deben bloquearse, usamos un método alternativo para bloquear las versiones de archivo que no se actualizan.

Alcance del impacto

Este problema afecta a todos los dispositivos Windows que admiten VBS. Esto incluye los dispositivos físicos locales y las máquinas virtuales (VM). VBS es compatible con Windows 10 y versiones posteriores de Windows y Windows Server 2016 y versiones posteriores de Windows Server.

El estado de VBS se puede comprobar a través de la Herramienta de información del sistema (Msinfo32.exe) de Microsoft. Esta herramienta recopila información sobre el dispositivo. Después de iniciar Msinfo32.exe, desplázate hacia abajo hasta la fila seguridad basada en virtualización. Si el valor de esta fila está Ejecutándose, VBS está habilitado y ejecutándose.

El estado de VBS también se puede comprobar con Windows PowerShell mediante la clase WMI Win32_DeviceGuard. Para consultar el estado de VBS desde PowerShell, abra una sesión de Windows PowerShell con privilegios elevados y, a continuación, ejecuta el siguiente comando:

Después de ejecutar el comando de PowerShell anterior, el estado del estado de VBS debe ser uno de los siguientes.

Mitigaciones disponibles

Para todas las versiones compatibles de Windows 10, versión 1809 y versiones posteriores de Windows y Windows Server 2019 y versiones posteriores de Windows Server, los administradores pueden implementar una directiva de revocación firmada por Microsoft (SkuSiPolicy.p7b). Esto bloqueará que el sistema operativo cargue las versiones vulnerables de los archivos de sistema de VBS que no se actualizan.

Cuando esta directiva se aplica a un dispositivo Windows, la directiva también se bloqueará en el dispositivo agregando una variable al firmware UEFI. Durante el inicio, la directiva se carga y Windows bloquea la carga de archivos binarios que infringen la directiva. Si se aplica el bloqueo de UEFI y la directiva se quita o se reemplaza por una versión anterior, el Administrador de arranque de Windows no se iniciará y el dispositivo no se iniciará. Este error de arranque no mostrará un error y el sistema procederá a la siguiente opción de arranque disponible que podría dar lugar a un bucle de arranque.

Para que la mitigación de directivas funcione, el dispositivo debe actualizarse con la actualización de Windows publicada el 13 de agosto de 2024 o después. Si faltan actualizaciones, es posible que el dispositivo no se inicie con la mitigación aplicada o que la mitigación no funcione según lo esperado. Además, las mitigaciones descritas en KB5025885 deben aplicarse al dispositivo.

Importante No apliques esta mitigación a versiones de Windows anteriores a Windows 10, versión 1809 o versiones de Windows Server anteriores a Windows Server 2019. Si la mitigación se aplica a dispositivos que no son compatibles, los dispositivos no se iniciarán y recibirá un error 0xc0000428. Tendrás que seguir las instrucciones de la sección Procedimiento de eliminación y recuperación de directivas para recuperarla.

Descripción de los riesgos de mitigación

Debes ser consciente de los riesgos potenciales antes de aplicar la directiva de revocación firmada por Microsoft. Revisa estos riesgos y realiza las actualizaciones necesarias en los medios de recuperación antes de aplicar la mitigación.

• Integridad del código del modo usuario (UMCI) La directiva de revocación firmada por Microsoft permite la integridad del código en modo de usuario para que las reglas de la directiva se apliquen a los archivos binarios del modo de usuario. UMCI también habilita la seguridad de código dinámico de forma predeterminada. La aplicación de estas características puede introducir problemas de compatibilidad con aplicaciones y scripts y puede impedir que se ejecuten y tener un impacto en el rendimiento en el tiempo de inicio. Antes de implementar la mitigación, sigue las instrucciones para implementar la directiva de modo de auditoría para probar posibles problemas.

• Bloqueo y desinstalación de actualizaciones de UEFI. Después de aplicar el bloqueo UEFI con la directiva de revocación firmada por Microsoft en un dispositivo, el dispositivo no se puede revertir (desinstalando las actualizaciones de Windows, usando un punto de restauración o por otros medios) si sigues aplicando el arranque seguro. Incluso volver a formatear el disco no quitará el bloqueo UEFI de la mitigación si ya se ha aplicado. Esto significa que si intentas revertir el sistema operativo Windows a un estado anterior que no tenga la mitigación aplicada, el dispositivo no se iniciará, no se mostrará ningún mensaje de error y UEFI procederá a la siguiente opción de arranque disponible. Esto podría dar lugar a un bucle de arranque. Debes deshabilitar arranque seguro para quitar el bloqueo UEFI. Tenga en cuenta todas las posibles implicaciones y realice pruebas exhaustivas antes de aplicar las revocaciones que se describen en este artículo al dispositivo.

• Medios de arranque externo. Después de aplicar las mitigaciones de bloqueo UEFI a un dispositivo, los medios de arranque externo deben actualizarse con las actualizaciones de Windows del 13 de agosto de 2024 o posteriores, y con la directiva de revocación firmada por Microsoft (SkuSiPolicy.p7b). Si el medio de arranque externo no está actualizado, es posible que el dispositivo no arranque desde ese medio. Consulta las instrucciones de la sección Actualizar medios de arranque externo antes de aplicar las mitigaciones.
  
  El medio de arranque que está actualizado con la directiva de revocación firmada por Microsoft solo debe usarse para arrancar dispositivos que ya tengan aplicada la mitigación.  Si se usa con dispositivos sin la mitigación, el bloqueo UEFI se aplicará durante el inicio desde el medio de arranque. Se producirá un error al iniciarse posteriormente desde el disco a menos que el dispositivo se actualice con la mitigación o se quite el bloqueo UEFI.

• Entorno de recuperación de Windows. El Entorno de recuperación de Windows (WinRE) del dispositivo debe actualizarse con las actualizaciones de Windows del 13 de agosto de 2024 o posteriores antes de que se aplique el SkuSipolicy.p7b al dispositivo. Si omites este paso, puede que WinRE no ejecutes la característica Restablecer PC.  Para obtener más información, consulta Agregar un paquete de actualización a Windows RE.

• Arranque del entorno de ejecución de arranque previo (PXE). Si la mitigación se implementa en un dispositivo e intentas usar el arranque PXE, el dispositivo no se iniciará a menos que las mitigaciones también se apliquen a los orígenes de arranque de red (raíz donde bootmgfw.efi está presente). Si un dispositivo se inicia desde un origen de arranque de red que tenga aplicada la mitigación, el bloqueo de la UEFI se aplicará al dispositivo y afectará a los inicios posteriores. No se recomienda implementar mitigaciones en orígenes de arranque de red a menos que todos los dispositivos del entorno tengan implementadas las mitigaciones.  

Directrices de implementación de mitigación

Para solucionar los problemas descritos en este artículo, puedes implementar una directiva de revocación firmada por Microsoft (SkuSiPolicy.p7b). Esta mitigación solo es compatible con Windows 10, versión 1809 y versiones posteriores de Windows y Windows Server 2019 y versiones posteriores de Windows Server. Antes de implementar la directiva de revocación firmada por Microsoft (SkuSiPolicy.p7b), debes probar si hay problemas de compatibilidad mediante una directiva de modo auditoría.

Nota Si usas BitLocker, asegúrese de que se ha realizado una copia de seguridad de la clave de recuperación de BitLocker. Puedes ejecutar el siguiente comando desde un símbolo del sistema de administrador y anotar la contraseña numérica de 48 dígitos:

Registros de eventos de Windows

Windows registra eventos cuando se cargan directivas de integridad de código, incluidas SkuSiPolicy.p7b, y cuando se impide que se cargue un archivo debido a la aplicación de directivas. Puedes usar estos eventos para comprobar que se ha aplicado la mitigación.

Los registros de integridad de código están disponibles en el Visor de eventos de Windows, en Registros de aplicaciones y servicios > Microsoft > Windows > CodeIntegrity > Operativo > Registros de aplicaciones y servicios > Registros de servicios > Microsoft > Windows > AppLocker > MSI y script.

Para obtener más información sobre los eventos de integridad de código, consulta la Guía operativa del Control de aplicaciones de Windows Defender.

Procedimiento de recuperación y eliminación de directivas

Si algo va mal después de aplicar la mitigación, puedes usar los siguientes pasos para quitar la mitigación:

1. Suspende BitLocker si está habilitado. Ejecuta el comando siguiente en la ventana del símbolo del sistema con privilegios elevados:

   Manager-bde -protectors -disable c: -rebootcount 3

2. Desactiva el Arranque seguro desde el menú de UEFI BIOS.
   
   El procedimiento para desactivar el arranque seguro difiere entre los modelos y fabricantes de dispositivos. Para obtener ayuda sobre dónde desactivar el arranque seguro, consulta con la documentación del fabricante del dispositivo. Puedes encontrar más detalles en Deshabilitar el arranque seguro.

3. Quita la directiva SkuSiPolicy.p7b.

   1. Inicia Windows normalmente e inicia sesión.
      
      La directiva SkuSiPolicy.p7b debe quitarse de la siguiente ubicación:

      • <Partición del sistema EFI>\Microsoft\Boot\SKUSiPolicy.p7b

   2. Ejecuta el siguiente script desde una sesión con privilegios elevados de Windows PowerShell para limpiar la directiva de esas ubicaciones:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 'C:\EFIMount'

      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"

      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      $EFIPartition = (Get-Partition | Where-Object IsSystem).AccessPaths[0]
      if (-Not (Test-Path $MountPoint)) { New-Item -Path $MountPoint -Type Directory -Force }
      mountvol $MountPoint $EFIPartition
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }

      if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }

      mountvol $MountPoint /D

4. Activa Arranque seguro desde BIOS.
   
   Consulta con la documentación del fabricante del dispositivo para localizar dónde activar el arranque seguro.
   
   Si has desactivado el arranque seguro en el paso 1 y la unidad está protegida por BitLocker, suspende la protección de BitLocker y, a continuación, activa el Arranque seguro desde el menú del BIOS de UEFI.

5. Activar BitLocker. Ejecuta el comando siguiente en la ventana del símbolo del sistema con privilegios elevados:

   Manager-bde -protectors -enable c:

6. Reinicie el dispositivo