KB5037167: CVE-2023-24932 に対処するために PCA2011 失効をテストするセキュリティ更新プログラム検証プログラム ガイド

1. 2024 年 4 月のプレリリース セキュリティ更新プログラムを展開します。

2. 管理者コマンド プロンプトを開きレジストリ キーを設定し、次のコマンドの入力により DB の更新を実行し、次に Enter キーを押します:

   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

3. デバイスを 2 回再起動します。

4. 次のコマンドが True を返すことを確認して、DB が正常に更新されたことを確認します。 管理者として次の PowerShell コマンドを実行します。

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

1. 管理者コマンド プロンプトを開き、PCA2023 署名付きブート マネージャーをダウンロードしてインストールするためのレジストリ キーを設定します。

   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

2. デバイスを 2 回再起動します。

3. 管理者として EFI パーティションをマウントし、検査できるように準備します。

   mountvol s: /s

4. "s:\efi\microsoft\boot\bootmgfw.efi" が PCA2023 によって署名されていることを検証します。 これを行うには、次の手順を実行します。

   1. [スタート] をクリックし、[検索] ボックスに「コマンド プロンプト」と入力し、[コマンド プロンプト] をクリックします。

   2. [コマンド プロンプト] ウィンドウで次のコマンドを入力して Enter キーを押します。

      copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

   3. ファイル マネージャーで、C:\bootmgfw_2023.efi というファイルを右クリックし、[プロパティ] をクリックし、[デジタル署名] タブを選択します。

   4. [署名] リストで、証明書チェーンに Windows UEFI 2023 CA が含まれていることを確認します。

DBX 緩和策を適用して、セキュア ブートで Windows Production PCA2011 証明書を信頼しないようにします。

1. 管理者コマンド プロンプトを開き、DBX に PCA2011 の失効を配置するレジストリ キーを設定します。

   reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

2. デバイスを 2 回再起動し、完全に再起動したことを確認します。

3. DBX 緩和策が正常に適用されたことを確認します。 これを行うには、次の PowerShell コマンドを管理者として実行し、コマンドが True を返すことを確認します:

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

   または、イベント ビューアーで次のイベントを探します:

   イベント ログ	System
   イベント ソース	TPM-WMI
   イベント ID	1037
   Level	情報
   エラー メッセージのテキスト	Microsoft Windows Production PCA 2011 を無効にするセキュア ブート Dbx 更新プログラムが正常に適用されました

4. 「開始する前に」セクションのテストに合格した項目を実行し、すべてのシステムが正常に動作していることを確認します。