KB5042562 : conseils pour bloquer la restauration des mises à jour de sécurité liées à la virtualisation (VBS)

Dans cet article

• Résumé

• Étendue de l’impact

• Atténuations disponibles

• Comprendre les risques d’atténuation

• Instructions de déploiement d’atténuation

  • Déploiement d’une stratégie de mode d’audit

  • Déploiement d’une stratégie de révocation déployé par Microsoft (SKUSIPolicy.p7b)

  • ​​​​​​​ Mise à jour du support de démarrage externe

• Journaux d’événements Windows

  • Événements d’activation de stratégie

  • Auditer et bloquer les événements

• Procédure de suppression et de récupération de stratégie

Résumé

Microsoft a été informé d’une vulnérabilité dans Windows qui permet à un attaquant disposant de privilèges d’administrateur de remplacer les fichiers système Windows mis à jour qui ont des versions antérieures, ouvrant ainsi la porte à un attaquant afin de supprimer les vulnérabilités de sécurité basée sur la virtualisation (VBS)..  La restauration de ces fichiers binaires peut permettre à un attaquant de contourner les fonctionnalités de sécurité VBS et d’exfiltrer les données protégées par VBS. Ce problème est décrit dans CVE-2024-21302 | Vulnérabilité d’élévation de privilèges en mode noyau sécurisé Windows.

Pour résoudre ce problème, nous révoquons les fichiers système VBS vulnérables qui ne sont pas mis à jour. En raison du grand nombre de fichiers VBS qui doivent être bloqués, nous utilisons une autre approche pour bloquer les versions de fichiers qui ne sont pas mises à jour.

Étendue de l’impact

Tous les appareils Windows qui prennent en charge VBS sont affectés par ce problème. Cela inclut les appareils physiques locaux et les machines virtuelles (VM). VBS est pris en charge sur Windows 10 et les versions ultérieures de Windows, ainsi que sur Windows Server 2016 et les versions ultérieures de Windows Server.

L’état VBS peut être vérifié via l’outil Microsoft System Information (Msinfo32.exe).. Cet outil collecte des informations sur votre appareil. Après avoir démarré Msinfo32.exe, faites défiler jusqu’à la ligne de sécurité basée sur la virtualisation . Si la valeur de cette ligne est En cours d’exécution, VBS est activé et en cours d’exécution.

L’état VBS peut également être vérifié avec Windows PowerShell à l’aide de la classe Win32_DeviceGuard WMI. Pour interroger l’état VBS à partir de PowerShell, ouvrez une session Windows PowerShell avec élévation de privilèges, puis exécutez la commande suivante :

Après avoir exécuté la commande PowerShell ci-dessus, l’état VBS doit être l’un des suivants.

Atténuations disponibles

Pour toutes les versions prises en charge de Windows 10, version 1809 et les versions ultérieures de Windows, et Windows Server 2019 et les versions ultérieures de Windows Server, les administrateurs peuvent déployer une stratégie de révocation signée par Microsoft (SkuSiPolicy.p7b). Cela empêchera le chargement par le système d’exploitation des versions vulnérables des fichiers système VBS qui ne sont pas mis à jour.

Lorsque cette stratégie est appliquée à un appareil Windows, la stratégie est également verrouillée sur l’appareil en ajoutant une variable au microprogramme UEFI. Au démarrage, la stratégie se charge et Windows bloque le chargement des fichiers binaires qui enfreignent la stratégie. Si le verrou UEFI est appliqué et que la stratégie est supprimée ou remplacée par une version antérieure, le gestionnaire de démarrage Windows ne démarre pas ainsi que l’appareil. Cet échec de démarrage n’affiche pas d’erreur et le système passe à la prochaine option de démarrage disponible, ce qui peut entraîner une boucle de démarrage.

Pour que l’atténuation de la stratégie fonctionne, l’appareil doit être mis à jour avec la mise à jour de Windows publiée le 13 août 2024 ou après. Si des mises à jour sont manquantes, l’appareil peut ne pas commencer par l’atténuation appliquée ou l’atténuation peut ne pas fonctionner comme prévu. En outre, les atténuations décrites dans KB5025885 doivent être appliquées à votre appareil.

Important N’appliquez pas cette atténuation aux versions de Windows antérieures à Windows 10, version 1809 ou aux versions de Windows Server antérieures à Windows Server 2019. Si l’atténuation est appliquée aux appareils qui ne sont pas pris en charge, les appareils ne démarrent pas et vous recevez une erreur 0xc0000428. Vous devez suivre les instructions de la section Suppression de stratégie et procédure de récupération pour récupérer.

Comprendre les risques d’atténuation

Vous devez être conscient des risques potentiels avant d’appliquer la stratégie de révocation signée par Microsoft. Évaluez ces risques et apportez les mises à jour nécessaires au support de récupération avant d’appliquer l’atténuation.

• Intégrité du code du mode utilisateur (UMCI). La stratégie de révocation signée par Microsoft active l’intégrité du code en mode utilisateur afin que les règles de la stratégie soient appliquées aux fichiers binaires en mode utilisateur. UMCI active également la sécurité du code dynamique par défaut. L’application de ces fonctionnalités peut introduire des problèmes de compatibilité avec les applications et les scripts, et les empêcher de s’exécuter et avoir un impact sur les performances au moment du démarrage. Avant de déployer l’atténuation, suivez les instructions pour déployer la stratégie de mode d’audit afin de tester les problèmes potentiels.

• Verrouillage ueFI et désinstallation des mises à jour. Après avoir appliqué le verrou UEFI avec la stratégie de révocation signée par Microsoft sur un appareil, l’appareil ne peut pas être rétabli (en désinstallant les mises à jour Windows, à l’aide d’un point de restauration ou par d’autres moyens) si vous continuez à appliquer le démarrage sécurisé. Même le reformatage du disque ne supprime pas le verrou UEFI de l’atténuation s’il a déjà été appliqué. Cela signifie que si vous tentez de rétablir le système d’exploitation Windows à un état antérieur qui n’a pas l’atténuation appliquée, l’appareil ne démarre pas, aucun message d’erreur n’est affiché et l’UEFI passe à la prochaine option de démarrage disponible. Cela peut entraîner une boucle de démarrage. Vous devez désactiver le démarrage sécurisé pour supprimer le verrou UEFI. N’oubliez pas toutes les implications possibles et effectuez des tests approfondis avant d’appliquer les révocations décrites dans cet article à votre appareil.

• Support de démarrage externe. Une fois que les atténuations de verrou UEFI ont été appliquées à un appareil, le support de démarrage externe doit être mis à jour avec les mises à jour Windows datées ou postérieures au 13 août 2024 et avec la stratégie de révocation signée par Microsoft (SkuSiPolicy.p7b). Si le support de démarrage externe n'est pas mis à jour, il se peut que l’appareil ne démarre pas à partir de ce support. Consultez les instructions de la section Mise à jour du support de démarrage externe avant d’appliquer les atténuations.
  
  Le support de démarrage mis à jour avec la stratégie de révocation signée par Microsoft ne doit être utilisé que pour les appareils de démarrage pour lesquels l’atténuation est déjà appliquée.  S’il est utilisé avec des appareils sans atténuation, le verrou UEFI est appliqué au démarrage à partir du support de démarrage. Les démarrages ultérieurs à partir du disque échoueront, sauf si l'appareil est mis à jour avec l'atténuation ou si le verrou UEFI est supprimé.

• Environnement de récupération Windows. L’environnement de récupération Windows (WinRE) sur l’appareil doit être mis à jour avec les mises à jour Windows du ou après le 13 août 2024 avant l’application de SkuSipolicy.p7b à l’appareil. L’omission de cette étape peut empêcher WinRE d’exécuter la fonctionnalité Réinitialiser le PC.  Pour plus d’informations, consultez Ajouter un package de mise à jour à Windows RE.

• Démarrage PXE (Preboot Execution Environment). Si l’atténuation est déployée sur un appareil et que vous tentez d’utiliser le démarrage PXE, l’appareil ne démarre que si les atténuations sont également appliquées aux sources de démarrage réseau (racine où bootmgfw.efi est présent). Si un appareil démarre à partir d’une source de démarrage réseau pour laquelle l’atténuation est appliquée, le verrou UEFI s’applique à l’appareil et a un impact sur les démarrages suivants. Nous vous déconseillons de déployer des atténuations sur les sources de démarrage réseau, sauf si les atténuations sont déployées sur tous les appareils de votre environnement.  

Instructions de déploiement d’atténuation

Pour résoudre les problèmes décrits dans cet article, vous pouvez déployer une stratégie de révocation signée par Microsoft (SkuSiPolicy.p7b). Cette atténuation n’est prise en charge que sur Windows 10, version 1809 et les versions ultérieures de Windows, ainsi que sur Windows Server 2019 et les versions ultérieures de Windows Server. Avant de déployer la stratégie de révocation signée par Microsoft (SkuSiPolicy.p7b), vous devez tester les problèmes de compatibilité à l’aide d’une stratégie de mode d’audit.

Remarque Si vous utilisez BitLocker, assurez-vous que votre clé de récupération BitLocker a été sauvegardée. Vous pouvez exécuter la commande suivante à partir d’une invite de commandes Administrateur et noter le mot de passe numérique à 48 chiffres :

Journaux d’événements Windows

Windows journalise les événements lors du chargement des stratégies d’intégrité du code, notamment SkuSiPolicy.p7b, et lorsqu’un fichier est bloqué en raison de la mise en œuvre de la stratégie. Vous pouvez utiliser ces événements pour vérifier que l’atténuation a été appliquée.

Les journaux d’intégrité du code sont disponibles dans l’observateur d'événements Windows sous Journaux d’activité d’application et de services > Microsoft > Windows > CodeIntegrity > Opérationnel > Journaux d’application et de services > Journaux de services > Microsoft > Windows > AppLocker > MSI et script.

Pour plus d’informations sur les événements d’intégrité du code, consultez le guide opérationnel Windows Defender Application Control.

Procédure de suppression et de récupération de la stratégie

Si un problème se produit après l’application de l’atténuation, vous pouvez utiliser les étapes suivantes pour supprimer l’atténuation :

1. Suspendez BitLocker s’il est activé. Exécutez les commandes suivantes à partir d'une invite de commandes avec élévation de privilèges Windows :

   Manager-bde -protectors -disable c: -rebootcount 3

2. Désactivez le démarrage sécurisé à partir du menu BIOS UEFI.
   
   La procédure de désactivation du démarrage sécurisé diffère entre les fabricants d’appareils et les modèles. Pour obtenir de l’aide sur l’emplacement où désactiver le démarrage sécurisé, consultez la documentation du fabricant de votre appareil. Vous trouverez plus de détails dans Désactivation du démarrage sécurisé.

3. Supprimez la stratégie SkuSiPolicy.p7b.

   1. Démarrez Windows normalement, puis connectez-vous.
      
      La stratégie SkuSiPolicy.p7b doit être supprimée de l’emplacement suivant :

      • ​​​​​​​<EFI System Partition>\Microsoft\Boot\SKUSiPolicy.p7b​​​​​​​

   2. Exécutez le script suivant à partir d’une session Windows PowerShell avec élévation de privilèges pour nettoyer la stratégie à partir de ces emplacements :

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 'C:\EFIMount'

      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"

      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      $EFIPartition = (Get-Partition | Where-Object IsSystem).AccessPaths[0]
      if (-Not (Test-Path $MountPoint)) { New-Item -Path $MountPoint -Type Directory -Force }
      mountvol $MountPoint $EFIPartition
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }

      si (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }

      mountvol $MountPoint /D

4. Activez le démarrage sécurisé à partir du BIOS.
   
   Consultez la documentation du fabricant de votre appareil pour savoir où activer le démarrage sécurisé.
   
   Si vous avez désactivé le démarrage sécurisé à l’étape 1 et que votre lecteur est protégé par BitLocker, suspendez la protection BitLocker, puis activez le démarrage sécurisé à partir de votre menu BIOS UEFI.

5. Activer BitLocker. Exécutez les commandes suivantes à partir d'une invite de commandes avec élévation de privilèges Windows :

   Manager-bde -protectors -enable c:

6. Redémarrez votre appareil.