Conseils Microsoft pour l’application de la mise à jour DBX de démarrage sécurisé (KB4575994)

Application d’une mise à jour DBX sur Windows

Après avoir lu les avertissements de la section précédente et vérifié que votre appareil est compatible, procédez comme suit pour mettre à jour le démarrage sécurisé DBX :

1. Téléchargez le fichier approprié de la liste de révocation UEFI (Dbxupdate.bin) pour votre plateforme à partir de cette page web UEFI.

2. Vous devez diviser le fichier Dbxupdate.bin en composants nécessaires pour les appliquer à l’aide d’applets de commande PowerShell. Pour cela, procédez comme suit :

   1. Téléchargez le script PowerShell à partir de cette page web PowerShell Gallery.

   2. Pour localiser le script, exécutez l’applet de commande suivante :

      • Get-InstalledScript -name SplitDbxContent | select-object Name, Version, Author, PublishedDate, InstalledDate, InstalledLocation

   3. Vérifiez que l’applet de commande télécharge correctement le script et fournit des détails sur la sortie, y compris le nom, la version, l’auteur, la date de publication, la date d’installation et le lieu d’installation.

   4. Exécutez les applets de commande suivantes :

      • [string]$ScriptPath= @(Get-InstalledScript -name SplitDbxContent | select-object -ExpandProperty InstalledLocation)

      • cd $ScriptPath

      • ls

   5. Vérifiez que le fichier SplitDbxContent.ps1 est maintenant dans le dossier Scripts.

   6. Exécutez le script PowerShell suivant sur le fichier Dbxupdate.bin :
      
         SplitDbxContent.ps1 “c:\path\to\file\dbxupdate.bin"

   7. Vérifiez que la commande a créé les fichiers suivants.

      

      • Content.bin - contenu de la mise à jour

      • Signature.p7 - signature autorisant le processus de mise à jour

3. Dans une session PowerShell administrative, exécutez l’applet de commande Set-SecureBootUefi pour appliquer la mise à jour DBX :
   
   Set-SecureBootUefi -Name dbx -ContentFilePath .\content.bin -SignedFilePath .\signature.p7 -Time 2010-03-06T19:17:21Z -AppendWrite
   
   Résultat attendu
   
   

4. Pour terminer le processus d’installation de la mise à jour, redémarrez l’appareil.

Pour plus d’informations sur l’applet de commande de configuration du démarrage sécurisé et sur la façon de l’utiliser pour les mises à jour DBX, voir Set-Secure.

Vérification de l’appliaction de la mise à jour  

Après avoir terminé les étapes décrites dans la section précédente et redémarré l’appareil, procédez comme suit pour vérifier que la mise à jour a été appliquée avec succès. Une fois la vérification effectuée avec succès, votre appareil n’est plus affecté par la vulnérabilité GRUB.

1. Téléchargez les scripts de vérification des mises à jour DBX à partir de cette page web GitHub Gist.

2. Extrayez les scripts et les fichiers binaires du fichier compressé.

3. Exécutez le script PowerShell suivant dans le dossier qui contient les scripts développés et les fichiers binaires pour vérifier l’application de la mise à jour DBX : 
   
   Check-Dbx.ps1 '.\dbx-2021-April.bin' 

   Remarque : Si une mise à jour DBX correspondant aux versions de juillet 2020 ou d’octobre 2020 de cette archive de fichiers de la liste de révocation a été appliquée, exécutez plutôt la commande appropriée suivante : 
   
   Check-Dbx.ps1 '.\dbx-2020-July.bin' 

   Check-Dbx.ps1 '.\dbx-2020-October.bin' 

4. Vérifiez que la sortie correspond au résultat attendu.
   
   

Forum aux questions

Q1 : Que signifie le message d’erreur « Get-SecureBootUEFI : les applets de commande ne sont pas prises en charge sur cette plateforme » ?

R1 : Ce message d’erreur indique qu’AUCUNE fonctionnalité de démarrage sécurisé n’est activée sur l’ordinateur. Par conséquent, cet appareil n’est PAS affecté par la vulnérabilité GRUB. Aucune action supplémentaire n’est requise.

Q2 : Comment configurer l’appareil pour qu’il fasse ou non confiance à une autorité de certification UEFI tierce ? 

R2 : Nous vous recommandons de contacter votre fournisseur OEM. 

Pour Microsoft Surface, modifiez le paramètre de démarrage sécurisé pour « Microsoft uniquement », puis exécutez la commande PowerShell suivante (le résultat doit être « False ») : 

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Corporation UEFI CA 2011' 

Pour plus d’informations sur la configuration pour Microsoft Surface, voir Gérer les paramètres UEFI de Surface - Surface | Microsoft Docs.

Q3 : Ce problème affecte-t-il les machines virtuelles Azure IaaS de génération 1 ou 2 ? 

R3 : Non. Les machines virtuelles invitées Azure de génération 1 et 2 ne prennent pas en charge la fonctionnalité de démarrage sécurisé. Par conséquent, elles ne sont pas affectées par l’attaque de la chaîne de confiance. 

Q4 : ADV200011 et CVE-2020-0689 font-ils référence à la même vulnérabilité liée au démarrage sécurisé ? 

R : Non. Ces avis de sécurité décrivent des vulnérabilités différentes. « ADV200011 » fait référence à une vulnérabilité présente dans GRUB (composant Linux) qui peut provoquer un contournement du démarrage sécurisé. « CVE-2020-0689 » fait référence à une vulnérabilité de contournement des fonctionnalités de sécurité qui existe dans le démarrage sécurisé. 

Q5 : Je ne peux exécuter aucun des scripts PowerShell. Que dois-je faire ?

R : Vérifiez la stratégie d’exécution de PowerShell en exécutant la commande Get-ExecutionPolicy. Selon la sortie, vous devrez peut-être mettre à jour la stratégie d’exécution :

• Set-ExecutionPolicy (Microsoft.PowerShell.Security) - PowerShell | Microsoft Docs