KB5042562: linee guida per il blocco del rollback degli aggiornamenti della sicurezza basati sulla virtualizzazione (VBS) correlati

Contenuto dell'articolo

• Riassunto

• Ambito dell'impatto

• Misure di prevenzione disponibili

• Informazioni sui rischi di mitigazione

• Linee guida per la distribuzione delle misure di prevenzione

  • Distribuzione di criteri in modalità di controllo

  • Distribuzione di un criterio di revoca firmato da Microsoft (SKUSIPolicy.p7b)

  • Aggiornamento del supporto di avvio esterno

• Registri eventi di Windows

  • Eventi di attivazione dei criteri

  • Controllare e bloccare gli eventi

• Procedura di rimozione e ripristino dei criteri

Riassunto

Microsoft è stata informata di una vulnerabilità di Windows che consente a un utente malintenzionato con privilegi di amministratore di sostituire i file di sistema di Windows aggiornati con versioni precedenti, aprendo la porta a un utente malintenzionato per reintrodurre le vulnerabilità alla sicurezza basata sulla virtualizzazione (VBS).  Il rollback di questi file binari potrebbe consentire a un utente malintenzionato di aggirare le funzionalità di sicurezza di VBS ed esfiltrare i dati protetti da VBS. Questo problema è descritto in CVE-2024-21302 | Vulnerabilità dell'elevazione dei privilegi in modalità kernel sicuro di Windows.

Per risolvere questo problema, verranno revocati i file di sistema VBS vulnerabili non aggiornati. A causa del numero elevato di file correlati a VBS che devono essere bloccati, viene usato un approccio alternativo per bloccare le versioni dei file non aggiornate.

Ambito dell'impatto

Tutti i dispositivi Windows che supportano VBS sono interessati da questo problema. Sono inclusi i dispositivi fisici locali e le macchine virtuali (VM). VBS è supportato in Windows 10 e versioni successive di Windows e in Windows Server 2016 e versioni successive di Windows Server.

Lo stato di VBS può essere controllato tramite lo strumento Microsoft System Information (Msinfo32.exe).The VBS state can be checked through the Microsoft System Information tool (Msinfo32.exe). Questo strumento raccoglie informazioni sul tuo dispositivo. Dopo aver iniziato Msinfo32.exe, scorri verso il basso fino alla riga Sicurezza basata sulla virtualizzazione . Se il valore di questa riga è In esecuzione, VBS è abilitato ed in esecuzione.

Lo stato VBS può essere controllato anche con Windows PowerShell usando la classe WMI Win32_DeviceGuard. Per eseguire una query sullo stato VBS da PowerShell, aprire una sessione di Windows PowerShell con privilegi elevati e quindi eseguire il comando seguente:

Dopo aver eseguito il comando di PowerShell precedente, lo stato di VBS deve essere uno dei seguenti.

Misure di prevenzione disponibili

Per tutte le versioni supportate di Windows 10, versione 1809 e versioni successive di Windows e Windows Server 2019 e versioni successive di Windows Server, gli amministratori possono distribuire criteri di revoca firmati da Microsoft (SkuSiPolicy.p7b). In questo modo verranno bloccate le versioni vulnerabili dei file di sistema VBS che non vengono aggiornati dal caricamento dal sistema operativo.

Quando questo criterio viene applicato a un dispositivo Windows, il criterio verrà bloccato anche al dispositivo aggiungendo una variabile al firmware UEFI. Durante l'avvio, i criteri vengono caricati e Windows blocca il caricamento dei file binari che violano i criteri. Se viene applicato il blocco UEFI e i criteri vengono rimossi o sostituiti con una versione precedente, Gestione avvio windows non si avvia e il dispositivo non si avvia. Questo errore di avvio non mostrerà un errore e il sistema procederà con la successiva opzione di avvio disponibile che potrebbe causare un ciclo di avvio.

Per il funzionamento della prevenzione dei criteri, il dispositivo deve essere aggiornato con l'aggiornamento di Windows rilasciato dopo il 13 agosto 2024 incluso. Se mancano aggiornamenti, il dispositivo potrebbe non avviarsi con la mitigazione applicata o la prevenzione potrebbe non funzionare come previsto. Inoltre, le misure di prevenzione descritte in KB5025885 devono essere applicate al dispositivo.

Importante Non applicare questa prevenzione alle versioni di Windows precedenti a Windows 10, versione 1809 o alle versioni di Windows Server precedenti a Windows Server 2019. Se la prevenzione viene applicata ai dispositivi non supportati, i dispositivi non si avviano e viene visualizzato un 0xc0000428 di errore. Per ripristinare, dovrai seguire le istruzioni nella sezione Rimozione dei criteri e procedura di ripristino .

Informazioni sui rischi di mitigazione

È necessario essere a conoscenza dei potenziali rischi prima di applicare i criteri di revoca firmati da Microsoft. Esamina questi rischi e apporta gli eventuali aggiornamenti necessari al supporto di ripristino prima di applicare la prevenzione.

• Integrità del codice in modalità utente (UMCI). Il criterio di revoca firmato da Microsoft abilita l'integrità del codice in modalità utente in modo che le regole nel criterio vengano applicate ai file binari in modalità utente. UMCI abilita anche La sicurezza del codice dinamico per impostazione predefinita. L'applicazione di queste funzionalità può introdurre problemi di compatibilità con applicazioni e script e potrebbe impedirne l'esecuzione e avere un impatto sulle prestazioni sui tempi di avvio. Prima di distribuire la prevenzione, seguire le istruzioni per distribuire i criteri della modalità di controllo per testare i potenziali problemi.

• Aggiornamenti per il blocco e la disinstallazione della UEFI. Dopo aver applicato il blocco UEFI con i criteri di revoca firmati da Microsoft in un dispositivo, non è possibile ripristinare il dispositivo (disinstallando gli aggiornamenti di Windows, usando un punto di ripristino o con altri mezzi) se continui ad applicare l'avvio protetto. La riformattazione del disco non rimuove il blocco UEFI della prevenzione se è già stata applicata. Ciò significa che se provi a ripristinare il sistema operativo Windows a uno stato precedente a cui non è applicata la prevenzione, il dispositivo non si avvia, non viene visualizzato alcun messaggio di errore e l'interfaccia UEFI passa alla successiva opzione di avvio disponibile. Questo potrebbe causare un ciclo di avvio. È necessario disabilitare Avvio protetto per rimuovere il blocco UEFI. Si prega di essere consapevoli di tutte le possibili implicazioni e testare attentamente prima di applicare le revoche descritte in questo articolo al dispositivo.

• Supporto di avvio esterno. Dopo l'applicazione delle misure di prevenzione del blocco UEFI a un dispositivo, è necessario aggiornare il supporto di avvio esterno con gli aggiornamenti di Windows datati 13 agosto 2024 o successivi e con i criteri di revoca firmati da Microsoft (SkuSiPolicy.p7b). Se il supporto di avvio esterno non viene aggiornato, il dispositivo potrebbe non avviarsi da quel supporto. Vedi le istruzioni nella sezione Aggiornamento dei supporti di avvio esterno prima di applicare le misure di prevenzione.
  
  Il supporto di avvio aggiornato con i criteri di revoca firmati da Microsoft deve essere usato solo per avviare i dispositivi con la prevenzione già applicata.  Se viene usato con i dispositivi senza la prevenzione, il blocco UEFI verrà applicato durante l'avvio dal supporto di avvio. Gli avvii successivi dal disco non riusciranno, a meno che il dispositivo non venga aggiornato con la prevenzione o il blocco UEFI non venga rimosso.

• Ambiente ripristino Windows. L'Ambiente ripristino Windows (WinRE) nel dispositivo deve essere aggiornato con gli aggiornamenti di Windows datati 13 agosto 2024 o successivamente prima dell'applicazione di SkuSipolicy.p7b al dispositivo. L'omessa esecuzione di questo passaggio potrebbe impedire a WinRE di eseguire la funzionalità Reimposta PC.  Per altre informazioni, vedi Aggiungere un pacchetto di aggiornamento a Windows RE.

• Avvio PXE (Preboot Execution Environment). Se la prevenzione viene distribuita in un dispositivo e tenti di usare l'avvio PXE, il dispositivo non si avvia a meno che le misure di prevenzione non vengano applicate anche alle origini di avvio della rete (radice in cui è presente bootmgfw.efi). Se un dispositivo viene avviato da un'origine di avvio di rete con la mitigazione applicata, il blocco UEFI verrà applicato al dispositivo e avrà un impatto sull'avvio successivo. Non è consigliabile distribuire le misure di prevenzione nelle origini di avvio della rete, a meno che non siano state distribuite le misure di prevenzione in tutti i dispositivi dell'ambiente.  

Linee guida per la distribuzione delle misure di prevenzione

Per risolvere i problemi descritti in questo articolo, è possibile distribuire un criterio di revoca firmato da Microsoft (SkuSiPolicy.p7b). Questa prevenzione è supportata solo in Windows 10, versione 1809 e versioni successive di Windows e Windows Server 2019 e versioni successive di Windows Server. Prima di distribuire i criteri di revoca firmati da Microsoft (SkuSiPolicy.p7b), è consigliabile verificare la compatibilità usando un criterio della modalità di controllo.

Nota Se usi BitLocker, assicurati che sia stato eseguito il backup della chiave di ripristino di BitLocker. È possibile eseguire il comando seguente da un prompt dei comandi dell'amministratore e prendere nota della password numerica di 48 cifre:

Registri eventi di Windows

Windows registra gli eventi quando vengono caricati criteri di integrità del codice, tra cui SkuSiPolicy.p7b, e quando un file viene bloccato dal caricamento a causa dell'applicazione dei criteri. Puoi usare questi eventi per verificare che la prevenzione sia stata applicata.

I log di integrità del codice sono disponibili nel Visualizzatore eventi di Windows nei registri di applicazioni e servizi > registri di Microsoft > Windows > CodeIntegrity > log di applicazioni e servizioperativi > > i log di Servizi > Microsoft > Windows > AppLocker > MSI e Script.

Per altre informazioni sugli eventi di integrità del codice, vedi la Guida operativa di Controllo di applicazioni di Windows Defender.

Procedura di rimozione e ripristino dei criteri

Se si verificano problemi dopo aver applicato la prevenzione, puoi usare i passaggi seguenti per rimuovere la prevenzione:

1. Sospendi BitLocker se è abilitato. Esegui il comando seguente da una finestra del prompt dei comandi con privilegi elevati:

   Manager-bde -protectors -disable c: -rebootcount 3

2. Disattiva Avvio protetto dal menu BIOS UEFI.
   
   La procedura per disattivare Avvio protetto varia a seconda del produttore e del modello di dispositivo. Per informazioni sull'individuazione della posizione in cui disattivare Avvio protetto, consulta la documentazione del produttore del dispositivo. Ulteriori dettagli sono disponibili in Disabilitazione dell'avvio protetto.

3. Rimuovere il criterio SkuSiPolicy.p7b.

   1. Avvia Windows normalmente e quindi accedi.
      
      Il criterio SkuSiPolicy.p7b deve essere rimosso dal percorso seguente:

      • <Partizione di sistema EFI>\Microsoft\Boot\SKUSiPolicy.p7b

   2. Eseguire lo script seguente da una sessione di Windows PowerShell con privilegi elevati per pulire i criteri da tali posizioni:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 'C:\EFIMount'

      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"

      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      $EFIPartition = (Get-Partition | Where-Object IsSystem). AccessPaths[0]
      if (-Not (Test-Path $MountPoint)) { New-Item -Path $MountPoint -Type Directory -Force }
      $MountPoint $EFIPartition mountvol
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }

      if (Test-Path $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }

      mountvol $MountPoint /D

4. Attiva Avvio protetto dal BIOS.
   
   Consulta la documentazione del produttore del dispositivo per l'individuazione della posizione in cui attivare l'avvio protetto.
   
   Se hai disattivato Avvio protetto al passaggio 1 e l'unità è protetta da BitLocker, sospendi la protezione BitLocker e quindi attiva Avvio protetto dal menu DEL BIOS UEFI .

5. Attiva BitLocker. Esegui il comando seguente da una finestra del prompt dei comandi con privilegi elevati:

   Manager-bde -protectors -enable c:

6. Riavvia il dispositivo.