KB5025885: Kuidas hallata Windowsi käivitushalduri tühistusi CVE-2023-24932 seotud turvalise algkäivituse muudatuste jaoks

Selle artikli teemad

• Kokkuvõte

  • Toiming

  • Mõju ulatus

  • Riskide mõistmine

  • Teadaolevad probleemid

• Selle väljaande juhised

• Leevendusjuhised

• Algkäivitatavad meediumid

• Windowsi installikandja värskendamine

• Värskenduste ajastus

• CVE-2023-24932 seotud Windowsi sündmuselogi tõrked

• Korduma kippuvad küsimused (KKK)

• Algkäivitusprobleemide tõrkeotsing

• Taasteprotseduur

• Viited

• Muudatuste logi

Kokkuvõte

Selles artiklis kirjeldatakse kaitset avalikult avaldatud Secure Booti turbefunktsiooni möödumise eest, mis kasutab CVE-2023-24932 jälitatud BlackLotus UEFI bootkit, kuidas lubada leevendusi ja juhiseid algkäivitatava meediumi kohta. Algkäivituskomplekt on pahatahtlik programm, mis on loodud nii vara kui võimalik laadima seadmete algkäivitusjadas, et juhtida operatsioonisüsteemi käivitamist.

Microsoft soovitab turvalist algkäivitust, et luua turvaline ja usaldusväärne tee ühtsest laiendatavast püsivaraliidesest (UEFI) Windowsi tuuma usaldusväärse algkäivituse jada kaudu. Secure Boot aitab ära hoida algkäivituskomplekti ründevara algkäivitusjadas. Turvalise algkäivituse keelamine seab seadme ohtu, et algkäivituskomplekti ründevara nakatab. Jaotises CVE-2023-24932 kirjeldatud turvalise algkäivituse möödu parandamine nõuab käivitushaldurite tühistamist. See võib põhjustada probleeme mõne seadme algkäivituskonfiguratsiooniga.

Jaotises CVE-2023-24932 kirjeldatud secure Booti möödumise leevendused sisalduvad Windowsi turbevärskendustes, mis anti välja 9. aprillil 2024 või hiljem. Need leevendused pole vaikimisi lubatud. Nende värskendustega soovitame teil hakata neid muudatusi oma keskkonnas hindama. Täielikku ajakava kirjeldatakse jaotises Värskenduste ajastus .

Enne nende leevenduste lubamist peaksite selles artiklis toodud üksikasjad põhjalikult läbi vaatama ja otsustama, kas peate leevendused lubama või ootama Microsofti tulevast värskendust. Kui otsustate leevendused lubada, peate veenduma, et teie seadmed on värskendatud ja valmis, ning mõistma selles artiklis kirjeldatud riske. 

Selle väljaande juhised

Selle väljaande puhul järgige neid kahte juhist.

1. toiming: Windowsi turbevärskenduse

installimine Installige toetatud Windowsi seadmetesse Windowsi igakuine turbevärskendus, mis on välja antud 9. aprillil 2024 või hiljem. Need värskendused hõlmavad CVE-2023-24932 leevendusi, kuid need pole vaikimisi lubatud. Kõik Windowsi seadmed peaksid selle toimingu lõpule viima, olenemata sellest, kas kavatsete leevendused juurutada või mitte.

2. toiming: muudatuste

hindamine Soovitame teil teha järgmist.

• Mõista kahte esimest leevendust, mis võimaldavad värskendada Secure Boot DB-d ja värskendada käivitushaldurit.

• Vaadake värskendatud ajakava üle.

• Hakake testima kahte esimest leevendust oma keskkonnast pärinevate representatiivsete seadmete suhtes.

• Alustage juurutusetapi kavandamist 9. juulil 2024.

3. juhis: jõustage muudatused

Soovitame teil mõista riske, mida on kirjeldatud jaotises Riskide mõistmine.

• Mõistke taaste ja muude algkäivitatavate meediumite mõju.

• Hakake testima kolmandat leevendust, mis tühistab kõigi varasemate Windowsi käivitushaldurite jaoks kasutatud allkirjastamisserdi.

Leevendusjuhised

Enne nende leevendusmeetmete rakendamist installige toetatud Windowsi seadmetesse Windowsi igakuine hooldusvärskendus, mis on välja antud 9. aprillil 2024 või hiljem. See värskendus sisaldab CVE-2023-24932 leevendusi, kuid need pole vaikimisi lubatud. Kõik Windowsi seadmed peaksid selle toimingu lõpule viima olenemata teie plaanist leevendusmeetmete lubamiseks.

Värskenduse juurutamiseks ja tühistuste rakendamiseks tehke järgmist.

1. Installige värskendatud serdidefinitsioonid andmebaasi.

   See toiming lisab "Windows UEFI CA 2023" serdi UEFI -le "Secure Boot Signature Database" (DB). Kui lisate selle serdi andmebaasi, usaldab seadme püsivara selle serdi allkirjastatud algkäivitusrakendusi.

   1. Avage administraatori käsuviip ja määrake regkey, et värskendada DB-ks, sisestades järgmise käsu:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      OLULINE Enne 2. ja 3. toiminguga jätkamist taaskäivitage seade kindlasti kaks korda, et värskenduse installimine lõpule viia.

   2. Käivitage järgmine PowerShelli käsk administraatorina ja veenduge, et andmebaasi värskendamine õnnestus. See käsk peaks tagastama väärtuse True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Värskendage seadmes käivitushaldurit.

   Selle toiminguga installitakse teie seadmesse käivitushalduri rakendus, mis on allkirjastatud serdiga "Windows UEFI CA 2023".

   1. Avage administraatori käsuviip ja määrake regkey allkirjastatud käivitushalduri "Windows UEFI CA 2023" installimiseks:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Taaskäivitage seade kaks korda.

   3. Administraatorina ühendage EFI-sektsioon, et see kontrolliks valmis saada.

      mountvol s: /s

   4. Veenduge, et "s:\efi\microsoft\boot\bootmgfw.efi" oleks allkirjastatud serdil "Windows UEFI CA 2023". Selleks tehke järgmist.

      1. Klõpsake nuppu Start, tippige väljale Otsingkäsuviip ja seejärel klõpsake käsku Käsuviip.

      2. Tippige aknas Käsuviip järgmine käsk ja vajutage sisestusklahvi (Enter):

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Paremklõpsake failihalduris faili C:\bootmgfw_2023.efi, klõpsake käsku Atribuudid ja seejärel valige vahekaart Digitaalallkirjad .

      4. Kinnitage loendis Allkiri, et serdiahelasse oleks kaasatud Windows UEFI CA 2023. Serdiahel peaks vastama järgmisele kuvatõmmisele:
         
         

3. Lubage tühistamine.

   UEFI keelatud failide loendit (DBX) kasutatakse UEFI-moodulite ebausaldusväärsete laadimise blokeerimiseks. Selles etapis lisab DBX-i värskendamine DBX-ile serdi "Windows Production CA 2011". Seetõttu ei usaldata enam kõiki selle serdi allkirjastatud käivitushaldureid.

   HOIATUS. Enne kolmanda leevenduse rakendamist looge taastemäluseade, mida saab kasutada süsteemi algkäivitamiseks. Lisateavet selle kohta leiate jaotisest Windowsi installikandja värskendamine.

   Kui teie süsteem satub algkäivitamatusse olekusse, järgige jaotises Taasteprotseduur toodud juhiseid, et lähtestada seade tühistuseelsesse olekusse.

   1. Lisage sert "Windows Production PCA 2011" secure Boot UEFI Keelatud loendisse (DBX). Selleks avage administraatorina käsuviibaaknad, tippige järgmine käsk ja vajutage sisestusklahvi (Enter):

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Taaskäivitage seade kaks korda ja veenduge, et see on täielikult taaskäivitatud.

   3. Veenduge, et installimise ja tühistamise loend oleks rakendatud, otsides sündmuselogist sündmust 1037.
      
      Sündmuse 1037 kohta leiate teavet artiklist KB5016061: Secure Boot DB ja DBX muutuja värskendussündmused. Või käivitage järgmine PowerShelli käsk administraatorina ja veenduge, et see tagastaks väärtuse True:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Algkäivitatavad meediumid

Kui juurutusetapp hakkab teie keskkonnas algkäivitama, on oluline värskendada algkäivitatavat kandjat. Juurutusetapi jaoks antakse õigel ajal juhiseid ja tööriistu kandja värskendamiseks. Juurutusetapp peaks algama 9. juulil 2024.

Selle probleemi mõjutavate algkäivitatavate meediumide ja taastekandjate näited:

• Taasteketta loomise abil loodud algkäivitatav meedium.

• Windowsi varukoopiad, mis kuvati enne leevendusmeetmete rakendamist. Pärast seda, kui tühistamised on teie seadmes lubatud, ei saa neid windowsi installi taastamiseks otse kasutada.

• Teie, teie seadme tootja (OEM) või suurettevõtete loodud kohandatud CD/DVD või taastesektsioon.

• ISO (allalaadimise või ADK kaudu).

• Võrgu algkäivitus:

  • Windowsi juurutusteenused.

  • Preboot Execution Environment boot services (PXE boot services).

  • Microsofti juurutamise tööriistakomplekt.

  • HTTPS-i algkäivitus.

• OEM-i installi- ja taastekandja.

• Microsofti ametlik Windowsi meediumisisu, sealhulgas:

  • Jaemüügi meedia.

  • Kandja loomise tööriist (ISO või USB-draiv).

  • VLSC.

  • Visual Studio tellija allalaaditud failid.

  • USB-draiv.

• Windows PE.

• Füüsilisse riistvarasse või virtuaalarvutisse installitud Windows.

• Windowsi valideerimissüsteem.

Kui kasutate algkäivitatavat kandjat isiklikus Windows-seadmes, peate võib-olla enne tühistamiste rakendamist tegema ühte või mitut järgmistest toimingutest.

• Kui kasutate seadme sisu salvestamiseks isiklikku varundustarkvara, käivitage kindlasti täielik varukoopia pärast 9. aprilli 2024 leevendusmeetmete rakendamist.

• Kui kasutate algkäivitatavat kettatõmmist (ISO), CD-ROM-i või DVD-kandjat, värskendage kandjat, järgides hilisemal kuupäeval esitatavaid juhiseid.

Enterprise

• Vaadake põhjalikke juhiseid ja skriptimist Windows installikandja värskendamiseks Dynamic Update'i abil.

• Kui toetate oma keskkonnas võrgu algkäivitamise või taastamise stsenaariume, peate värskendama kõik meediumid ja pildid. See võib hõlmata järgmisi algkäivitus- või taastesuvandeid.

  • Microsofti juurutamise tööriistakomplekt.

  • Microsoft Endpoint Configuration Manager.

  • Windowsi juurutusteenused.

  • PxE Boot.

  • HTTPS-i algkäivitus ja muud võrgu algkäivituse stsenaariumid.

• Üks võimalus seda teha on kasutada DISM-i ühenduseta paketi installimist piltidele, mida need stsenaariumid teenindavad. See hõlmab nende teenuste pakutavate käivitusfailide värskendamist.

• Kui kasutate varundustarkvara Windowsi installi sisu salvestamiseks taastetõmmisesse, käivitage kindlasti pärast 9. aprilli 2024 leevendusmeetmete rakendamist täielik varukoopia. Varundage kindlasti lisaks Windowsi operatsioonisüsteemi sektsioonile ka EFI kettasektsioon. Teha selgelt kindlaks varud, mis tehakse enne 9. aprilli 2024 leevendusmeetmete rakendamist, võrreldes nendega, mis on tehtud pärast leevendusmeetmete rakendamist.

Windowsi arvuti OEM-id

• Vaadake põhjalikke juhiseid ja skriptimist Windows installikandja värskendamiseks Dynamic Update'i abil.

Windowsi installikandja värskendamine

Taasteketta loomise rakenduse kasutamiseks tehke järgmist. Seda kandjat saab kasutada seadme uuesti installimiseks juhul, kui esineb suur probleem (nt riistvaratõrge), saate taasteketta abil Windowsi uuesti installida.

1. Avage seade, kus on rakendatud 9. aprilli 2024 värskendused ja esimene leevendustoiming (Secure Boot DB värskendamine).

2. Otsige menüüs Start üles juhtpaneeli "Create a Recovery Drive" (Taasteketta loomine) aplett ja järgige taasteketta loomiseks juhiseid.

3. Kui vastloodud mäluseade on ühendatud (nt draivina "D:"), käivitage administraatorina järgmised käsud. Tippige kõik järgmised käsud ja vajutage sisestusklahvi (Enter):

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Kui haldate oma keskkonnas installitavaid meediume, kasutades Juhiseid Windowsi installikandja värskendamiseks Dynamic Update'i abil, tehke järgmist. Need lisatoimingud loovad algkäivitatava mäluseadme, mis kasutab "Windows UEFI CA 2023" allkirjastatud algkäivitusfaile.

1. Avage seade, kus on rakendatud 9. aprilli 2024 värskendused ja esimene leevendustoiming (Secure Boot DB värskendamine).

2. 9. aprilli 2024 värskendustega meediumi loomiseks järgige alloleval lingil toodud juhiseid. Windowsi installikandja värskendamine dünaamilise värskendusega

3. Asetage meediumisisu USB-mäluseadmele ja ühendage pöidlaketas draivi tähena. Näiteks ühendage pöidladraiv kujul "D:".

4. Käivitage administraatorina käsuaknas järgmised käsud. Tippige kõik järgmised käsud ja vajutage sisestusklahvi (Enter).

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Kui seadme turbekäivituse sätted lähtestatakse pärast leevendusmeetmete rakendamist vaikesätetele, siis seade ei käivitu. Selle probleemi lahendamiseks on parandusrakendus kaasatud 9. aprilli 2024 värskendustesse, mida saab kasutada "Windows UEFI CA 2023" serdi uuesti rakendamiseks DB-le (leevendus #1).

1. Avage seade, kus on rakendatud 9. aprilli 2024 värskendused.

2. Kopeerige käsuaknas taasterakendus mäluseadmesse järgmiste käskude abil (eeldusel, et mäluseade on D:-draiv). Tippige iga käsk eraldi ja vajutage sisestusklahvi (Enter):

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Sisestage turvalise algkäivituse sätetega seadmesse vaikesätted, sisestage mäluseade, taaskäivitage seade ja käivitage see mäluseadmelt.

Värskenduste ajastus

Teabevärskendused antakse välja järgmiselt.

• Algjuurutus See etapp algas värskendustega, mis anti välja 9. mail 2023, ja pakkusid nende leevenduste lubamiseks põhilist leevendust koos käsitoimingutega.

• Teine juurutamine See etapp algas 11. juulil 2023 välja antud värskendustega, mis lisasid probleemile leevendusmeetmete lubamiseks lihtsustatud etappe.

• Hindamisfaas See etapp algab 9. aprillil 2024 ja lisab täiendavaid käivitushalduri leevendusi.

• Lõplik juurutamise etapp See on siis, kui julgustame kõiki kliente alustama leevendusmeetmete juurutamist ja meediumi värskendamist.

• Jõustamisfaas Jõustamise etapp, mis muudab leevendused püsivaks. Selle faasi kuupäev loetakse ette hilisemal kuupäeval.

Märkus Väljalaske ajakava võib vastavalt vajadusele muuta.

CVE-2023-24932 seotud Windowsi sündmuselogi tõrked

Windowsi sündmuselogi kirjeid, mis on seotud DB ja DBX värskendamisega, on üksikasjalikult kirjeldatud KB5016061: Secure Boot DB ja DBX muutuja värskendussündmused.

Leevendusmeetmete rakendamisega seotud õnnestumissündmused on loetletud järgmises tabelis.

Korduma kippuvad küsimused (KKK)

Algkäivitusprobleemide tõrkeotsing

Pärast kõigi kolme leevendusmeetmete rakendamist ei käivitu seadme püsivara Windows Production PCA 2011 allkirjastatud käivitushalduri abil. Püsivara teatatud algkäivituse tõrked on seadmepõhised. Lugege jaotist Taasteprotseduur .

Taasteprotseduur

Kui leevendusmeetmete rakendamisel läheb midagi valesti ja te ei saa seadet käivitada või peate käivitama väliskandjalt (nt mälupulgalt või PXE algkäivituselt), proovige järgmisi soovitusi.

1. Lülitage Secure Boot välja.
   
   See toiming erineb seadmetootjatest ja mudelitest. Sisestage oma seadmete UEFI BIOS-i menüü, liikuge secure Booti sätetele ja lülitage see välja. Lisateavet selle protsessi kohta leiate oma seadme tootja dokumentatsioonist. Lisateavet leiate artiklist Turvalise algkäivituse keelamine.

2. Lähtestage Secure Booti võtmed tehase vaikesätetele.

   Kui seade toetab turvaliste algkäivitusvõtmete tehase vaikesätete lähtestamist, tehke see toiming kohe.

   MÄRKUS Mõnel seadme tootjal on secure Booti muutujate jaoks nii suvand "Tühjenda" kui ka "Lähtesta", misjuhul tuleks kasutada "Reset". Eesmärk on viia Secure Booti muutujad tagasi tootjate vaikeväärtuste hulka.

   Seade peaks käivituma kohe, kuid võtke arvesse, et see on algkäivituskomplekti ründevarale haavatav. Secure Booti uuesti lubamiseks viige kindlasti lõpule selle taasteprotsessi 5. toiming.

3. Proovige Windows käivitada süsteemikettalt.

   1. Windowsi sisselogimine.

   2. Käivitage järgmised käsud administraatori käsuviiba kaudu, et taastada algkäivitusfailid EFI süsteemi algkäivitussektsioonis. Tippige iga käsk eraldi ja vajutage sisestusklahvi (Enter):

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. BCDBooti käitamine tagastab "Algkäivitusfailid on loodud". Pärast selle teate kuvamist taaskäivitage seade uuesti Windowsisse.

4. Kui 3. juhis ei taasta seadet edukalt, installige Windows uuesti.

   1. Käivitage seade olemasoleva taastekandja abil.

   2. Jätkake Windowsi installimist taastekandja abil.

   3. Windowsi sisselogimine.

   4. Taaskäivitage Windows, et kontrollida, kas seade käivitatakse uuesti Windowsiga.

5. Lubage Secure Boot uuesti ja taaskäivitage seade.
   
   Sisestage seadme UEFI-liidese menüü, liikuge secure Booti sätetele ja lülitage see sisse. Lisateavet selle protsessi kohta leiate oma seadme tootja dokumentatsioonist. Lisateavet leiate jaotisest "Secure Booti uuesti lubamine".

Viited

• Juhised Rünnete uurimiseks CVE-2022-21894 abil: BlackLotuse kampaania

• Turvaline algkäivitus

• Secure Booti lubamine registreeritud Windowsi seadmetes

• DBX-värskenduste rakendamisel genereeritavate sündmuste kohta vt KB5016061: Haavatavate ja tühistatud algkäivitushaldurite käsitlemine.