|
Date de modification |
Description de la modification |
|
15 mai 2023 |
|
|
11 mai 2023 |
|
|
10 mai 2023 |
|
|
9 mai 2023 |
|
Avis
Important : Tous les clients doivent appliquer les mises à jour de sécurité Windows du 9 mai 2023. Cet article s'applique aux clients qui doivent prendre des mesures supplémentaires pour mettre en œuvre des mesures d'atténuation de sécurité pour un contournement de démarrage sécurisé divulgué publiquement et exploité par le kit de démarrage UEFI BlackLotus qui nécessite un accès physique ou administratif à l'appareil.
Attention : Une fois que l'atténuation de ce problème est activée sur un appareil, ce qui signifie que les révocations ont été appliquées, elle ne peut pas être annulée si vous continuez à utiliser Secure Boot sur cet appareil. Même le reformatage du disque ne supprimera pas les révocations si elles ont déjà été appliquées. Veuillez être conscient de toutes les implications possibles et effectuer des tests approfondis avant d'appliquer les révocations décrites dans cet article à votre appareil.
Dans cet article
Résumé
Cet article décrit la protection contre la divulgation publique d'un contournement de la fonction de sécurité Secure Boot à l'aide du kit de démarrage BlackLotus UEFI suivi par CVE-2023-24932 et comment activer les protections et les conseils pour mettre à jour le support de démarrage. Un bootkit est un programme malveillant conçu pour se charger le plus tôt possible dans la séquence d'un appareil, afin de contrôler le démarrage du système d'exploitation.
Démarrage sécurisé est recommandé par Microsoft pour créer un chemin sûr et fiable à partir de l'interface UEFI (Unified Extensible Firmware Interface) via la séquence de démarrage sécurisée du noyau Windows. Secure Boot aide à empêcher les logiciels malveillants de bootkit dans la séquence de démarrage. La désactivation de Secure Boot expose un appareil au risque d'être infecté par un malware bootkit. La correction du contournement du démarrage sécurisé décrit dans CVE-2023-24932 nécessite la révocation des gestionnaires de démarrage. Cela pourrait entraîner des problèmes pour les configurations de démarrage de certains appareils.
La mise à jour de sécurité du 9 mai 2023 fournit des options de configuration pour activer manuellement les protections pour le contournement du démarrage sécurisé, mais ces protections ne sont pas activées automatiquement. Avant d'activer ces protections, vous devez vérifier que vos appareils et tous les supports de démarrage sont mis à jour et prêts pour ce changement de renforcement de la sécurité. Les clients qui utilisent des solutions Microsoft basées sur le cloud doivent suivre les instructions de la section Mise à jour du support de démarrage/Azure Cloud.
Procédure à suivre
|
Important Les étapes doivent être effectuées dans l'ordre suivant et terminées avant de passer à l'étape suivante. Le support de démarrage ne démarrera pas si toutes les étapes ne sont pas effectuées dans l'ordre. |
Étendue de l’impact
Tous les appareils Windows sur lesquels les protections de démarrage sécurisé sont activées sont concernés par ce problème, à la fois les appareils physiques sur site et certaines machines virtuelles (VM) ou appareils basés sur le cloud. Des protections sont disponibles pour les versions prises en charge de Windows. Pour la liste complète, veuillez consulter CVE-2023-24932.
Linux est également concerné par ce problème. Microsoft s'est coordonné avec des représentants des principales distributions Linux pour rendre le correctif disponible pour leurs systèmes d'exploitation. Vous devez contacter le support de votre distribution Linux pour obtenir des conseils sur la manière d'atténuer ce problème pour vos périphériques Linux.
Services cloud
Selon le modèle de responsabilité partagée, Microsoft installe les mises à jour de démarrage sécurisé du 9 mai 2023 pour tous les logiciels en tant que service (SaaS) et plate-forme en tant que service (PaaS) en utilisant des pratiques de déploiement sûres. Pour les services basés sur l'infrastructure Windows en tant que service (IaaS) qui s'exécutent sur Azure avec Secure Boot activé (Trusted Launch VM ou Confidential VM), vous devez suivre les mêmes étapes pour les appareils Windows sur site.
Comprendre le risque
Pour que l'exploit du kit de démarrage BlackLotus UEFI décrit dans cet article soit possible, un attaquant doit obtenir des privilèges administratifs sur un appareil ou obtenir un accès physique à l'appareil. Cela peut être fait en accédant à l'appareil physiquement ou à distance, par exemple en utilisant un hyperviseur pour accéder aux machines virtuelles/cloud. Un attaquant utilisera généralement cette vulnérabilité pour continuer à contrôler un appareil auquel il peut déjà accéder et éventuellement manipuler. Les mesures d'atténuation décrites dans cet article sont préventives et non correctives. Si votre appareil est déjà compromis, contactez votre fournisseur de sécurité pour obtenir de l'aide.
Si vous utilisez Secure Boot et n'effectuez pas correctement les étapes de cet article, vous ne pourrez peut-être pas démarrer ou récupérer votre appareil à partir d'un support. Cela peut vous empêcher d'utiliser des supports de récupération, tels que des disques ou des lecteurs externes, ou la récupération du démarrage réseau, si le support n'a pas été correctement mis à jour.
Éviter les problèmes liés à votre média de démarrage
En raison des modifications de sécurité requises pour CVE-2023-24932 et décrites dans cet article, les révocations doivent être appliquées aux appareils Windows pris en charge. Une fois ces révocations appliquées, les appareils deviendront intentionnellement incapables de démarrer en utilisant un support de récupération ou d'installation, à moins que ce support n'ait été mis à jour avec les mises à jour de sécurité publiées le 9 mai 2023 ou après. Cela inclut à la fois les supports de démarrage, tels que les disques, les lecteurs externes, la récupération de démarrage réseau et les images de restauration.
Important : Vous devez terminer l'« Étape 2 : MISE À JOUR » avant d'appliquer les révocations à l'« Étape 3 : APPLIQUER » dans la section « Instructions de déploiement ».
Exemples de supports de démarrage et de supports de récupération concernés par ce problème
-
Support de démarrage créé à l'aide de Créer un lecteur de récupération.
Remarque : La fonctionnalité "Créer un lecteur de récupération" n'est pas prise en charge dans les mises à jour publiées le 9 mai 2023 ou après et ne peut pas être utilisée pour restaurer des appareils avec la révocation activée. Microsoft essaie de trouver une solution à ce problème et fournira ultérieurement une mise à jour. -
Sauvegardes de Windows qui ont été imagées avant l'installation des mises à jour publiées le 9 mai 2023 ou après. Ceux-ci ne seront pas directement utilisables pour restaurer votre installation Windows après l'activation des révocations sur votre appareil.
-
CD/DVD personnalisé ou partition de récupération créée par vous, le fabricant de votre appareil (OEM) ou les entreprises
-
ISO (par téléchargement ou en utilisant ADK)
-
Network Boot (Démarrage réseau)
-
Services de déploiement Windows
-
Services de démarrage de l'environnement d'exécution de pré-lancement (services de démarrage PXE)
-
Kit d'outils de déploiement Microsoft
-
Démarrage HTTPS
-
-
Supports d'installation et de récupération OEM
-
Support Windows officiel de Microsoft incluant :
-
Média de détail
-
Outil de création de médias (ISO ou clé USB)
-
Clé USB
-
-
Windows PE
-
Windows installé sur du matériel physique ou des machines virtuelles
REMARQUE Les médias Windows téléchargeables de Microsoft, mis à jour avec les dernières mises à jour cumulatives, seront bientôt disponibles via des canaux familiers, notamment Téléchargement de logiciels Microsoft, Abonnements Visual Studio et le centre de gestion des licences en volume. Veuillez revenir ici pour connaître la disponibilité.
Instructions de déploiement
Pour déployer des mises à jour et appliquer des révocations, procédez comme suit.
1. INSTALLER
Installez les mises à jour de maintenance mensuelles de Windows publiées le 9 mai 2023 ou après cette date sur les appareils Windows compatibles. Ces mises à jour incluent des protections pour CVE-2023-24932 mais ne sont pas activées par défaut. Assurez-vous de redémarrer l'appareil pour terminer l'installation de la mise à jour avant de passer aux étapes 2 et 3.
REMARQUE Nous travaillons sur les mises à jour dynamiques de SafeOS pour une prochaine version qui pourra être appliquée aux partitions WinRE. Les OEM doivent continuer à suivre les instructions standard pour la mise à jour de WinRE. Ne supprimez PAS le fichier de révocation (SKUSIPolicy.p7B) de la partition EFI sur les appareils sur lesquels les révocations ont été appliquées. Cette note sera mise à jour lorsque les mises à jour dynamiques de SafeOS seront disponibles.
ATTENTIONSi vous mettez à niveau votre appareil vers Windows 11, la version 21H2 ou Windows 11, la version 22H2 ou certaines versions de Windows 10, vous ne pourrez peut-être pas démarrer la version mise à niveau de Windows. Ce problème peut se produire lorsque vous installez les mises à jour Windows publiées le ou après le 9 mai 2023 et que vous activez les révocations.
Ce problème ne se produit pas sur les appareils qui n’ont pas appliqué les révocations. Nous sommes conscients de ce problème et nous nous efforçons de le résoudre. Reportez-vous à la section Résolution des problèmes de démarrage pour savoir comment récupérer si votre appareil ne démarre pas après l’activation des révocations.
Remarque La mise à jour de Windows 10 vers une version ultérieure de Windows 10 qui utilise un package d’activation n’est pas affectée par ce problème. Un exemple de mise à jour d’Windows 10 à l’aide d’un package d’activation passe de Windows 10, version 20H1, à Windows 10, version 22H2.
2. METTRE À JOUR le support de démarrage
Mettez à jour tous les supports de démarrage et les sauvegardes complètes de Windows pour vous assurer qu'ils contiennent les fichiers mis à jour à partir des mises à jour Windows publiées le 9 mai 2023 ou après. Voir les détails dans la section Mise à jour du support de démarrage. La mise à jour du support avec les mises à jour Windows publiées le 9 mai 2023 ou après garantit que le support continuera à démarrer sur tous les appareils de votre environnement. Les sauvegardes de Windows qui ont été imagées avant l'installation des mises à jour Windows publiées le 9 mai 2023 ou après devront être recréées après l'installation de ces mises à jour. Ceux-ci ne seront pas directement utilisables pour restaurer votre installation Windows après l'activation des révocations sur votre appareil.
Si vous ne créez pas votre propre média, vous devrez obtenir le média officiel mis à jour auprès de Microsoft, du fabricant de votre appareil (OEM) ou des fournisseurs de cloud. S'il n'est pas clair si le support de démarrage a été mis à jour, vous devrez peut-être le tester sur un appareil Windows sur lequel les mises à jour publiées le 9 mai 2023 ou après ont été installées et les révocations appliquées.
Pour plus d'informations et des étapes sur la mise à jour du support de démarrage, consultez la section « Mise à jour du support de démarrage ».
3. APPLIQUER les révocations
Les fichiers de révocation sont disponibles dans le cadre des mises à jour publiées à compter du 9 mai 2023. Ces fichiers incluent une mise à jour "Code Integrity Boot Policy" et "Secure Boot UEFI Forbidden List". L'application de ces fichiers de révocation est nécessaire pour être entièrement protégé de la vulnérabilité décrite par CVE-2023-24932. Les étapes suivantes, de l'Étape 3a à l'Étape 3e, doivent être effectuées sur tous les appareils Windows pour appliquer les révocations.
ATTENTION Une fois les révocations appliquées, le support de démarrage qui n'est pas mis à jour ne fonctionnera plus comme prévu. Ne passez pas à « Étape 3 : Appliquer » tant que vous n'avez pas suivi les instructions concernant le support de démarrage.
|
3a |
Appliquer la stratégie de démarrage d'intégrité du code La stratégie de démarrage d'intégrité du code (SKUSiPolicy.p7b) utilise la fonctionnalité d'intégrité du code de Windows pour empêcher le chargement des gestionnaires de démarrage Windows non approuvés lorsque le démarrage sécurisé est activé. Ouvrez une fenêtre d'invite de commande exécutée en tant qu'administrateur, tapez chacune des commandes suivantes, puis appuyez sur Entrée pour copier la stratégie de démarrage d'intégrité du code sur la partition EFI des périphériques. mountvol q: /S REMARQUES
|
|
3b |
Appliquer la liste d’exclusion UEFI de démarrage sécurisé (DBX) La liste interdite UEFI (DBX) est utilisée pour bloquer le chargement des modules non approuvés. reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x10 /f |
|
3c |
Redémarrez l'appareil Après avoir appliqué les deux révocations aux étapes 3a et 3b, vous devez redémarrer l'appareil pour activer les protections contre la révocation. |
|
3e |
Patientez au moins 5 minutes, puis redémarrez l’appareil
|
|
3d |
Vérifier que la liste d'installation et de révocation a été appliquée avec succès Consultez la section Erreurs du journal des événements Windows liées à CVE-2023-24932 pour savoir comment vérifier qu'il a été appliqué avec succès. |
Mise à jour du média de démarrage
La mise à jour du support de démarrage est importante pour s'assurer que le nouveau gestionnaire de démarrage et les autres fichiers de prise en charge sont installés pour permettre le démarrage de l'appareil après l'application des mesures d'atténuation. Idéalement, le support de démarrage doit être mis à jour avant d'appliquer les révocations sur votre appareil.
Important N'appliquez PAS le fichier SKUSIPolicy.p7b mis à jour (contenant les révocations) sur votre support de démarrage (ISO, USB, DVD, etc.). Le fichier SKUSIPolicy.p7b des mises à jour publiées le 9 mai 2023 ou après ne doit être appliqué qu'à vos appareils Windows.
REMARQUE Les fichiers Windows Media téléchargeables (fichiers ISO) de Microsoft, mis à jour avec les dernières mises à jour cumulatives, seront bientôt disponibles via des canaux familiers, notamment Téléchargement de logiciels Microsoft, Abonnements Visual Studio, et le centre de gestion des licences en volume. Si ce support fonctionne avec votre appareil et votre configuration, il n'est pas nécessaire de suivre les étapes manuelles ci-dessous pour créer un support de démarrage mis à jour.
Si vous utilisez un support de démarrage avec un appareil Windows personnel, vous devrez peut-être effectuer une ou plusieurs des opérations suivantes avant d'appliquer les révocations :
-
Pour toutes les versions prises en charge de Windows 11 et Windows 10, si le support de démarrage existant ne démarre pas, consultez la section "Créer le support d'installation" dans Réinstaller Windows.
-
Si vous utilisez un logiciel de sauvegarde personnel pour enregistrer le contenu de votre appareil, veillez à exécuter une sauvegarde complète après avoir installé la mise à jour Windows datée du 9 mai 2023 ou après cette date.
-
Si vous utilisez une image de disque amorçable (ISO), un CD-ROM ou un DVD, mettez à jour le support en suivant les instructions ici.
Entreprise
-
Voir les directives et les scripts complets pour mettre à jour le support d'installation de Windows avec la mise à jour dynamique
-
Si vous prenez en charge des scénarios de démarrage ou de récupération réseau dans votre environnement, vous devrez mettre à jour tous les supports et images avec les mises à jour publiées le 9 mai 2023 ou après. Cela peut inclure les options de démarrage ou de récupération suivantes :
-
Kit d'outils de déploiement Microsoft
-
Microsoft Endpoint Configuration Manager
-
Services de déploiement Windows
-
Démarrage PxE
-
Démarrage HTTPS et autres scénarios de démarrage réseau
-
-
Pour ce faire, vous pouvez notamment utiliser l'installation hors ligne du package DISM sur les images servies par ces scénarios. Cela inclut la mise à jour des fichiers de démarrage proposés par ces services.
-
Si vous utilisez un logiciel de sauvegarde pour enregistrer le contenu de votre installation Windows dans une image de récupération, veillez à exécuter une sauvegarde complète après avoir installé les mises à jour Windows publiées le 9 mai 2023 ou après. Assurez-vous de sauvegarder la partition de disque EFI en plus de la partition du système d'exploitation Windows. Identifiez clairement les sauvegardes effectuées avant les mises à jour du 9 mai 2023 par rapport à celles effectuées après les mises à jour du 9 mai 2023.
-
Les supports utilisant l'environnement de préinstallation Windows (Windows PE) et l'environnement de récupération Windows (WinRE) basés sur Windows Server 2012, Windows 8.1 ou Windows Server 2012 R2 n'auront besoin que des fichiers du gestionnaire de démarrage bootmgfw.efi et bootx64.efi ou bootia32.efi (selon sur l'architecture de l'appareil). N'utilisez pas cette méthode de mise à jour du support pour toute autre version de Windows.
OEM de PC Windows
-
Voir les directives et les scripts complets pour mettre à jour le support d'installation de Windows avec la mise à jour dynamique
Services cloud
-
Microsoft installera ces protections sur les services cloud gérés par Microsoft, si nécessaire.
-
Les entreprises utilisant des solutions cloud gérées par le client doivent installer ces mises à jour en fonction du profil de risque après des tests approfondis.
-
Les machines virtuelles Hyper-V de génération 1 et les appareils non compatibles avec le démarrage sécurisé ne sont pas affectés par le problème de sécurité dans CVE-2023-24932 et les révocations ne s'appliquent pas à ces appareils. Vous devez toujours installer les mises à jour publiées le 9 mai 2023 ou une version ultérieure sur toutes les versions prises en charge de Windows.
-
Azure SaaS et PaaS Selon le modèle de responsabilité partagée, Microsoft est en train d'installer les mises à jour traitant de CVE-2023-24932 publiées dans les mises à jour du 9 mai 2023 pour les services Azure SaaS et PaaS. Microsoft déploie ces mises à jour à l'aide de Safe Deployment Practices (SDP).
-
Azure laaS Pour les services basés sur IaaS, les clients qui doivent atténuer cette vulnérabilité peuvent installer les mises à jour Windows publiées le 9 mai 2023 ou après et configurer le paramètre de révocation. Notez que ce correctif et la configuration associée fourniront une protection aux clients dont le démarrage sécurisé est activé. Si les clients ont besoin de se protéger contre les attaques de type bootkit, ils peuvent activer Secure Boot. Consultez Déployer une machine virtuelle avec le lancement sécurisé activé pour plus de détails.
Calendrier des mises à jour
Les mises à jour seront publiées comme suit :
-
Déploiement initial Cette phase commence avec les mises à jour publiées le 9 mai 2023 et fournit des mesures d'atténuation de base,
-
Deuxième déploiement Cette phase commence avec les mises à jour publiées le 11 juillet 2023, qui ajoutent une prise en charge supplémentaire pour atténuer le problème.
-
Mise en vigueur La phase finale d'application qui rendra les atténuations permanentes. Provisoirement prévu pour le premier trimestre 2024.
Remarque Ce calendrier de publication pourrait être révisé à une date ultérieure.
Dans cette version, pour atténuer CVE-2023-24932, les mises à jour Windows du 9 mai 2023 incluront :
-
Mises à jour pour Windows publiées le 9 mai 2023 ou après pour corriger les vulnérabilités décrites dans CVE-2023-24932.
-
Modifications apportées aux composants de démarrage de Windows.
-
Deux fichiers de révocation pouvant être appliqués manuellement (une politique d'intégrité du code et une liste d'interdiction de démarrage sécurisé (DBX) mise à jour).
Mises à jour pour Windows publiées le 11 juillet 2023 ou après, qui ajoutent les éléments suivants :
-
Permettre un déploiement plus facile et automatisé des fichiers de révocation (politique de démarrage d'intégrité du code et liste d'interdiction de démarrage sécurisé (DBX)).
-
De nouveaux événements du journal des événements seront disponibles pour indiquer si le déploiement de la révocation a réussi ou non.
-
Package de mise à jour dynamique SafeOS pour Windows Recovery Environment (WinRE).
Lorsque des mises à jour seront publiées pour la phase d'application, elles ajouteront les éléments suivants :
-
Les révocations (stratégie de démarrage d'intégrité du code et liste d'interdiction de démarrage sécurisé) seront appliquées par programme après l'installation des mises à jour pour Windows sur tous les systèmes concernés sans option à désactiver.
-
Nous recherchons des opportunités pour accélérer ce calendrier, si possible, et annoncerons toute mise à jour ici.
Erreurs du journal des événements Windows liées à CVE-2023-24932
En plus des événements liés au démarrage sécurisé DBX existants, un nouvel événement a été ajouté après l'installation des mises à jour Windows publiées le 9 mai 2023 ou après pour faciliter le déploiement des mesures d'atténuation.
ID d'événement 1035
L'ID d'événement 1035 sera enregistré lorsque la mise à jour DBX aura été appliquée avec succès au micrologiciel.
|
Journal des événements |
Système |
|
Source de l’événement |
TPM-WMI |
|
ID d’événement |
1035 |
|
Niveau |
Information |
|
Texte du message d'erreur |
Mise à jour Secure Boot DBX appliquée avec succès |
Forum aux questions (FAQ)
-
Votre support de démarrage devra être mis à jour après l'application des révocations. Consultez la section Mise à jour du support de démarrage .
-
Suivez les instructions de la section Dépannage des problèmes de démarrage.
-
Si le fichier SKUSIPolicy.p7b est supprimé de la partition EFI ou si la partition EFI est supprimée ou reformatée, WinRE recherche le fichier SKUSIPolicy.p7b et ne le trouve pas. Cela empêchera WinRE de démarrer. Suivez les instructions de la section Dépannage des problèmes de démarrage.
-
Mettez à jour tous les systèmes d'exploitation Windows avec les mises à jour publiées le 9 mai 2023 ou une version ultérieure avant d'appliquer les révocations. Vous ne pourrez peut-être pas démarrer une version de Windows qui n'a pas été mise à jour au moins avec les mises à jour publiées le 9 mai 2023 après l'application des révocations. Suivez les instructions de la section Dépannage des problèmes de démarrage ci-dessous.
-
Vous devrez mettre à jour le support de démarrage.
-
Après avoir mis à jour toutes les versions installées de Windows et mis à jour votre média de démarrage, les révocations peuvent ensuite être appliquées comme décrit dans le APPLIQUER les révocations étape.
-
Consultez la section Dépannage des problèmes de démarrage.
Dépannage des problèmes de démarrage
Les erreurs suivantes peuvent s'afficher si les révocations ont été appliquées et que le gestionnaire de démarrage ne provient pas des mises à jour Windows publiées le 9 mai 2023 ou après.
|
Image d’erreur |
Texte d’erreur |
|
Pour Windows 11 et la plupart des versions de Windows 10, vous pouvez recevoir cette erreur si le gestionnaire de démarrage n'est pas à jour.
|
Gestionnaire de démarrage de Windows Il est possible qu'une modification matérielle ou logicielle récente ait installé un fichier endommagé ou dont la signature est incorrecte, ou qu'il s'agisse d'un logiciel malveillant provenant d'une source inconnue. Si vous disposez d'un disque d'installation Windows, insérez-le et redémarrez votre ordinateur. Cliquez sur "Réparer votre ordinateur", puis choisissez un outil de récupération. Sinon, pour démarrer Windows afin de poursuivre vos recherches, appuyez sur la touche ENTRÉE pour afficher le menu de démarrage, appuyez sur FS pour les options de démarrage avancées, puis sélectionnez Dernière bonne connue. Si vous comprenez pourquoi la signature numérique ne peut pas être vérifiée et que vous souhaitez démarrer Windows sans ce fichier, désactivez temporairement l'application de la signature du pilote.
|
|
Pour Windows 10 Entreprise LTSB, vous pouvez recevoir cette erreur si le gestionnaire de démarrage n'est pas à jour.
|
Gestionnaire de démarrage de Windows Windows n'a pas réussi à démarrer. Une modification matérielle ou logicielle récente peut en être la cause. Pour résoudre le problème :
Si vous ne disposez pas de ce disque, contactez votre administrateur système ou le fabricant de votre ordinateur pour obtenir de l'aide. État : OxcOe90002 |
|
|
Microsoft Hyper-V UEFI Résumé du démarrage de la machine virtuelle
Aucun système d'exploitation n'a été chargé. Votre machine virtuelle est peut-être mal configurée. Quittez et reconfigurez votre machine virtuelle ou cliquez sur Redémarrer pour réessayer la séquence de démarrage actuelle. |
Pour atténuer ces erreurs, procédez comme suit :
-
Vous devez temporairement désactiver Secure Boot. Suivez les étapes de Désactiver le démarrage sécurisé. Si vous utilisez un appareil Surface, vous devez suivre les étapes du menu Ouvrir Surface UEFI.
-
Démarrez l'appareil dans Windows. Si votre système est configuré pour démarrer plusieurs versions de Windows, démarrez la version la plus récente de Windows.
-
Installez les mises à jour publiées le 9 mai 2023 ou une version ultérieure, si elles n'ont pas déjà été installées.
-
Ouvrez une fenêtre d'invite de commande exécutée en tant qu'administrateur, saisissez chaque commande séparément, puis appuyez sur Entrée :
mountvol q: /S
xcopy %systemroot%\Boot\EFI\bootmgfw.efi q:\EFI\Microsoft\Boot
xcopy %systemroot%\Boot\EFI\bootmgfw.efi q:\EFI\Boot\boot<arch>.efi
xcopy %systemroot%\system32\SecureBootUpdates\SKUSiPolicy.p7b q:\EFI\Microsoft\Boot
mountvol q: /D
Où <arch> est x64, ia32 ou aa64 , selon l'architecture de votre appareil. Vous pouvez le déterminer en saisissant la commande suivante, puis en appuyant sur Entrée :
dir q:\EFI\Microsoft\Boot*.efi -
Redémarrez l'appareil et suivez les instructions de la section Réactiver le démarrage sécurisé.
|
Image d’erreur |
Texte d’erreur |
|
Vous pouvez recevoir l'erreur suivante au démarrage de Windows 10 ou Windows 11 si le fichier SKUSIPolicy.p7b a été supprimé après l'application des révocations.
|
Coffre Votre PC/Appareil doit être réparé Une erreur inattendue s’est produite. Code d’erreur : 0xc0e90002 Vous devrez utiliser des outils de récupération. Si vous ne disposez d'aucun support d'installation (comme un disque ou un périphérique USB), contactez votre administrateur PC ou le fabricant de votre PC/périphérique. |
|
|
Microsoft Hyper-V UEFI
No operating system was loaded. Your virtual machine may be configured incorrectly.
|
Pour atténuer ces erreurs, procédez comme suit :
-
Vous devez temporairement désactiver Secure Boot. Pour ce faire, suivez les étapes de Désactiver le démarrage sécurisé. Si vous utilisez un appareil Surface, vous devrez suivre les étapes du menu Ouvrir Surface UEFI.
-
Démarrez l'appareil dans Windows. Si votre système est configuré pour démarrer plusieurs versions de Windows, démarrez la version la plus récente de Windows.
-
Installez les mises à jour publiées le 9 mai 2023 ou après, si elles n'ont pas déjà été installées.
-
Ouvrez une fenêtre d'invite de commande exécutée en tant qu'administrateur, saisissez chacune des commandes suivantes séparément, puis appuyez sur Entrée :
mountvol q: /S
xcopy %systemroot%\Boot\EFI\bootmgfw.efi q:\EFI\Microsoft\Boot
xcopy %systemroot%\Boot\EFI\bootmgfw.efi q:\EFI\Boot\boot<arch>.efi
xcopy %systemroot%\system32\SecureBootUpdates\SKUSiPolicy.p7b q:\EFI\Microsoft\Boot
mountvol q: /D
Où <arch> est x64, ia32 ou aa64 selon l'architecture de votre appareil. Vous pouvez le déterminer en tapant la commande suivante, puis en appuyant sur Entrée :
dir q:\EFI\Microsoft\Boot*.efi -
Redémarrez l'appareil et suivez les instructions de la section Réactiver le démarrage sécurisé.
|
Image d’erreur |
Texte d’erreur |
|
Erreur de démarrage réseau des services de déploiement Windows/PxE
|
Services de déploiement Windows (IP du serveur : nnn.nnn.nnn.nnn) Les services de déploiement Windows ont rencontré une erreur : Code d’erreur : 0xc0000272 |
Pour atténuer cette erreur, procédez comme suit :
-
Appliquez les mises à jour du 9 mai 2023 ou ultérieures à l'aide de l'installation hors ligne du package DISM à l'image boot.wim ou WinPE sur le serveur de déploiement.
Références
-
Conseils pour enquêter sur les attaques utilisant CVE-2022-21894 : la campagne BlackLotus
-
Activer le démarrage sécurisé sur les appareils Windows inscrits
-
Pour les événements générés lors de l'application des mises à jour DBX, consultez l'article suivant :
KB5016061 : Traitement des gestionnaires de démarrage vulnérables et révoqués
