Guía de implementación empresarial para CVE-2023-24932

Hemos dividido la implementación en varios pasos que se pueden lograr en una escala de tiempo que funcione para su organización. Debe familiarizarse con estos pasos. Una vez que comprenda bien los pasos, debe tener en cuenta cómo funcionarán en su entorno y preparar planes de implementación que funcionen para su empresa en su escala de tiempo.

Agregar el nuevo certificado de Windows UEFI CA 2023 y no confiar en el certificado Microsoft Windows Production PCA 2011 requiere la cooperación del firmware del dispositivo. Dado que hay una gran combinación de hardware y firmware del dispositivo, y Microsoft no puede probar todas las combinaciones, te recomendamos que pruebes dispositivos representativos en tu entorno antes de implementar de forma generalizada. Le recomendamos que pruebe al menos un dispositivo de cada tipo que se use en su organización. Algunos problemas conocidos del dispositivo que bloquearán estas mitigaciones se documentan como parte de KB5025885: Cómo administrar las revocaciones del Administrador de arranque de Windows para los cambios de arranque seguro asociados con CVE-2023-24932. Si detectas un problema de firmware de dispositivo que no aparece en la sección Problemas conocidos , ponte en contacto con el proveedor de OEM para solucionar el problema.

Dado que este documento hace referencia a varios certificados diferentes, se presentan en la tabla siguiente para facilitar la referencia y la claridad:

Ca antiguas de 2011	Nuevas CA de 2023 (expira en 2038)	Función
Microsoft Corporation KEK CA 2011 (expira en julio de 2026)	Microsoft Corporation KEK CA 2023	Firma actualizaciones de DB y DBX
Microsoft Windows Production PCA 2011 (PCA2011) (expira en octubre de 2026)	Windows UEFI CA 2023 (PCA2023)	Firma el cargador de arranque de Windows
Microsoft Corporation UEFI CA 2011 (expira en julio de 2026)	Microsoft UEFI CA 2023 y Microsoft Option ROM UEFI CA 2023	Firma cargadores de arranque de terceros y ROM de opción

Hay cuatro mitigaciones que deben aplicarse para protegerse contra los ataques descritos en CVE-2023-24932:

• Mitigación 1: Instalar la definición de certificado actualizado (PCA2023) en la base de datos

• Mitigación 2:Actualizar el administrador de arranque en el dispositivo

• Mitigación 3:Habilitar la revocación (PCA2011)

• Mitigación 4:Aplicar la actualización SVN al firmware

Estas cuatro mitigaciones se pueden aplicar manualmente a cada uno de los dispositivos de prueba siguiendo las instrucciones descritas en las directrices de implementación de mitigación de KB5025885: Cómo administrar las revocaciones del administrador de arranque de Windows para los cambios de arranque seguro asociados con CVE-2023-24932, o bien siguiendo las instrucciones de este documento. Las cuatro mitigaciones dependen del firmware para funcionar correctamente.

Comprender los siguientes riesgos le ayudará durante el proceso de planificación.

Problemas de firmware: Cada dispositivo tiene firmware proporcionado por el fabricante del dispositivo. Para las operaciones de implementación descritas en este documento, el firmware debe ser capaz de aceptar y procesar las actualizaciones de la DB de arranque seguro (base de datos de firmas) y DBX (base de datos de firmas prohibidas). Además, el firmware es responsable de validar la firma o las aplicaciones de arranque, incluido el administrador de arranque de Windows. El firmware del dispositivo es software y, como cualquier software, puede tener defectos, por lo que es importante probar estas operaciones antes de implementar ampliamente.

Microsoft ha realizado pruebas continuas de muchas combinaciones de dispositivos y firmware, comenzando con los dispositivos de los laboratorios y oficinas de Microsoft, y Microsoft está trabajando con los OEM para probar sus dispositivos. Casi todos los dispositivos probados han pasado sin problemas. En algunos casos, hemos detectado problemas con el firmware que no controla correctamente las actualizaciones y estamos trabajando con los OEM para solucionar los problemas de los que somos conscientes.

Medios de instalación:Al aplicar Mitigation 3 y Mitigation 4 que se describe más adelante en este documento, los medios de instalación de Windows existentes ya no se podrán arrancar hasta que el medio tenga un administrador de arranque actualizado. Las mitigaciones descritas en este documento impiden que los administradores de arranque antiguos y vulnerables se ejecuten al desconfiarlos en el firmware. Esto evita que un atacante reversión del administrador de arranque del sistema a una versión anterior y aproveche las vulnerabilidades presentes en versiones anteriores. Bloquear estos administradores de arranque vulnerables no debería tener ningún impacto en el sistema en ejecución. Sin embargo, evitará que se inicien los medios de arranque hasta que se actualicen los administradores de arranque de los medios. Esto incluye imágenes ISO, unidades USB de arranque y arranque de red (arranque PxE y HTTP).

• Mitigación 1: Instalar las definiciones de certificados actualizadas en la base de datos
  
  Agrega el nuevo certificado de Windows UEFI CA 2023 a la base de datos de firmas de arranque seguro (DB) de UEFI. Al agregar este certificado a la db, el firmware del dispositivo confiará en las aplicaciones de arranque de Microsoft Windows firmadas por este certificado.

• Mitigación 2: Actualizar el administrador de arranque en el dispositivo
  
  Aplica el nuevo administrador de arranque de Windows firmado con el nuevo certificado ca ueFI 2023 de Windows.

Estas mitigaciones son importantes para la capacidad de servicio a largo plazo de Windows en estos dispositivos. Dado que el certificado Microsoft Windows Production PCA 2011 del firmware expirará en octubre de 2026, los dispositivos deben tener el nuevo certificado de Windows UEFI CA 2023 en el firmware antes de la expiración o el dispositivo ya no podrá recibir actualizaciones de Windows, lo que lo coloca en un estado de seguridad vulnerable.

Para obtener información sobre cómo aplicar mitigation 1 y mitigation 2 en dos pasos independientes (si quieres tener más cuidado, al menos al principio) consulta KB5025885: Cómo administrar las revocaciones del Administrador de arranque de Windows para los cambios de arranque seguro asociados con CVE-2023-24932. O bien, puede aplicar ambas mitigaciones ejecutando la siguiente operación de clave única del Registro como administrador:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x140 /f

A medida que se apliquen las mitigaciones, se borrarán los bits de la clave AvailableUpdates . Después de establecerlo en 0x140 y reiniciar, el valor cambiará a 0x100 y, después de otro reinicio, cambiará a 0x000.

La mitigación del administrador de arranque no se aplicará hasta que el firmware indique que la mitigación de certificados de 2023 se aplica correctamente. Estas operaciones no se pueden realizar fuera de orden.

Cuando se apliquen ambas mitigaciones, se establecerá una clave del Registro para indicar que el sistema es "compatible con 2023", lo que significa que los medios se pueden actualizar y se puede aplicar mitigación 3 y Mitigación 4.

En la mayoría de los casos, completar Mitigation 1 y Mitigation 2 requiere al menos dos reinicios antes de que las mitigaciones se apliquen por completo. Agregar reinicios adicionales en su entorno le ayudará a garantizar que las mitigaciones se apliquen antes. Sin embargo, puede que no sea práctico insertar reinicios adicionales artificialmente y tenga sentido basarse en los reinicios mensuales que se producen como parte de la aplicación de las actualizaciones de seguridad. Si lo hace, se producirán menos interrupciones en su entorno, pero se correrá el riesgo de tardar más tiempo en protegerse.

Después de implementar Mitigation 1 y Mitigation 2 en sus dispositivos, debe supervisar los dispositivos para asegurarse de que tienen las mitigaciones aplicadas y que ahora son "compatibles con 2023". La supervisión puede realizarse buscando la siguiente clave del registro en el sistema. Si la clave existe y se establece en 1, el sistema ha agregado el certificado 2023 a la variable de base de datos de arranque seguro. Si la clave existe y se establece en 2, el sistema tiene el certificado 2023 en la DB y comienza con el administrador de arranque firmado con 2023.

Subclave del Registro	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
Nombre del valor de clave	WindowsUEFICA2023Capable
Tipo de datos	REG_DWORD
Datos	0 , o la clave no existe, el certificado "Windows UEFI CA 2023" no está en la DB 1 - El certificado "Windows UEFI CA 2023" está en la DB 2 - El certificado "Windows UEFI CA 2023" está en la DB y el sistema se inicia a partir del administrador de arranque firmado en 2023.

Después de aplicar Mitigation 1 y Mitigation 2 a los dispositivos, puedes actualizar cualquier medio de arranque que uses en tu entorno. Actualizar el medio de arranque significa aplicar el administrador de arranque PCA2023 firmado a los medios. Esto incluye la actualización de las imágenes de arranque de red (como PxE y HTTP), las imágenes ISO y las unidades USB. De lo contrario, los dispositivos con las mitigaciones aplicadas no se iniciarán desde medios de arranque que usen el administrador de arranque de Windows anterior y la CA 2011. ​​​​

Las herramientas y las instrucciones sobre cómo actualizar cada tipo de medio de arranque están disponibles aquí:

Tipo de medio	Resource
ISO, unidades USB, etc.	KB5053484: Actualización de medios de arranque de Windows para usar el administrador de arranque firmado por PCA2023
Servidor de arranque PXE	Documentación que se proporcionará más adelante

Durante el proceso de actualización de medios, debes asegurarte de probar los medios con un dispositivo que tenga las cuatro mitigaciones en su lugar. Las dos mitigaciones finales bloquearán los administradores de arranque más antiguos y vulnerables. Tener medios con los administradores de arranque actuales es una parte importante de completar este proceso.

Los medios de arranque no incluyen la unidad del sistema del dispositivo desde la que normalmente reside Windows y desde la que se inicia automáticamente. Los medios de arranque se usan habitualmente para arrancar un dispositivo que no tiene una versión de arranque de Windows y los medios de arranque se usan a menudo para instalar Windows en el dispositivo.

La configuración de arranque seguro de UEFI determina en qué administradores de arranque confiar mediante la DB de arranque seguro (base de datos de firmas) y DBX (base de datos de firmas prohibidas). La DB contiene los hashes y las claves del software de confianza, y la DBX almacena claves y hashes revocados, comprometidos y no de confianza para evitar que se ejecute software malintencionado o no autorizado durante el proceso de arranque.

Es útil pensar en los diferentes estados en los que puede estar un dispositivo y qué medios de arranque se pueden usar con el dispositivo en cada uno de estos estados. En todos los casos, el firmware determina si debe confiar en el administrador de arranque con el que se presenta y, una vez que ejecuta el administrador de arranque, el firmware ya no consulta la DB ni la DBX. Los medios de arranque pueden usar un administrador de arranque firmado por la CA de 2011 o un administrador de arranque firmado por una CA de 2023, pero no ambos. La siguiente sección describe en qué estados se puede encontrar el dispositivo y, en algunos casos, qué medios se pueden arrancar desde el dispositivo.

Estos escenarios de dispositivos pueden ayudar a realizar planes para implementar las mitigaciones en los dispositivos.

Nuevos dispositivos

Algunos nuevos dispositivos comenzaron a enviarse con los CA 2011 y 2023 preinstalados en el firmware del dispositivo. No todos los fabricantes han cambiado para tener ambos y pueden seguir siendo dispositivos de envío con solo la CA 2011 preinstalada.

• Los dispositivos con las CA de 2011 y 2023 pueden iniciar medios que incluyan el administrador de arranque firmado de la CA de 2011 o el administrador de arranque firmado por la CA de 2023.

• Los dispositivos con solamente la CA 2011 instalada solo pueden arrancar medios con el administrador de arranque firmado de la CA 2011. La mayoría de los medios más antiguos incluyen el gestor de arranque firmado de la CA de 2011.

Dispositivos con mitigaciones 1 y 2

Estos dispositivos estaban preinstalados con la CA de 2011 y, al aplicar la Mitigación 1, ahora tienen instalada la CA 2023. Puesto que estos dispositivos confían en ambos CA, estos dispositivos pueden iniciar los medios con la CA 2011 y el administrador de arranque firmado 2023.

Dispositivos con Mitigaciones 3 y 4

Estos dispositivos tienen la CA 2011 incluida en la DBX y ya no confiarán en medios con un administrador de arranque firmado por una CA de 2011. Un dispositivo con esta configuración solo iniciará medios con un administrador de arranque firmado por la CA 2023.

Restablecimiento de arranque seguro

Si se ha restablecido la configuración de arranque seguro a los valores predeterminados, es posible que ya no haya ninguna mitigación que se haya aplicado a la base de datos (agregando la CA de 2023) ni la DBX (que no confía en la CA de 2011). El comportamiento dependerá de cuáles sean los valores predeterminados del firmware.

DBX

Si se han aplicado mitigaciones 3 o 4 y se ha borrado la DBX, la CA de 2011 no estará en la lista DBX y seguirá siendo de confianza. Si esto ocurre, será necesario volver a aplicar las mitigaciones 3 o 4.

NOSQL

Si la DB contenía la CA de 2023 y se elimina restableciendo la configuración de arranque seguro a los valores predeterminados, es posible que el sistema no arranque si el dispositivo se basa en el administrador de arranque firmado por la CA 2023. Si el dispositivo no arranca, usa la herramienta securebootrecovery.efi que se describe en KB5025885: Cómo administrar las revocaciones del administrador de arranque de Windows para los cambios de arranque seguro asociados con CVE-2023-24932 para recuperar el sistema.

• Mitigación 3: Habilitar la revocación
  
  No confía en el certificado Microsoft Windows Production PCA 2011 agregándolo a la DBX de arranque seguro de firmware. Esto provocará que el firmware no confíe en todos los administradores de arranque firmados por la CA de 2011 y cualquier medio que se base en el administrador de arranque firmado por la CA de 2011.

• Mitigación 4: Aplicar la actualización del número de versión segura al firmware
  
  Aplica la actualización del número de versión segura (SVN) a la DBX de arranque seguro de firmware. Cuando un administrador de arranque firmado con 2023 comienza a ejecutarse, realiza una comprobación de sí mismo comparando el SVN almacenado en el firmware con el SVN integrado en el administrador de arranque. Si el administrador de arranque SVN es inferior al SVN del firmware, el administrador de arranque no se ejecutará. Esta característica impide que un atacante retrase el administrador de arranque a una versión más antigua y no actualizada. Para futuras actualizaciones de seguridad para el administrador de arranque, el SVN se incrementará y mitigación 4 tendrá que volver a aplicar.

Importante Mitigation 1 y Mitigation 2 deben completarse antes de aplicar Mitigation 3 y Mitigation 4.

Para obtener información sobre cómo aplicar mitigation 3 y mitigation 4 en dos pasos independientes (si quieres tener más cuidado, al menos al principio) consulta KB5025885: Cómo administrar las revocaciones del Administrador de arranque de Windows para cambios de arranque seguro asociados con CVE-2023-24932 O bien, puedes aplicar ambas mitigaciones ejecutando la siguiente operación de clave del Registro única como administrador:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x280 /f

Aplicar ambas mitigaciones juntas solo requerirá un reinicio para completar la operación.

• Mitigación 3: Puedes comprobar que la lista de revocación se ha aplicado correctamente buscando el Id. de evento: 1037 en el registro de eventos, por KB5016061: eventos de actualización de variables DB y DBX de arranque seguro.
  
  Como alternativa, puede ejecutar el siguiente comando de PowerShell como administrador y asegurarse de que devuelve True:

  [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'​​​​​​​

• Mitigación 4: Todavía no existe un método para confirmar que se ha aplicado la configuración SVN. Esta sección se actualizará cuando haya una solución disponible.