KB5025885: Kaip valdyti "Windows" įkrovos tvarkytuvo saugiosios įkrovos keitimų, susietų su CVE-2023-24932, atšaukimus

Šiame straipsnyje

• Suvestinė

  • Imtis veiksmų

  • Poveikio aprėptis

  • Rizikos supratimas

  • Žinomos problemos

• Šio leidimo gairės

• Rizikos mažinimo diegimo gairės

• Paleidžiamos laikmenos

• "Windows" diegimo laikmenos naujinimas

• Naujinimų laikas

• "Windows" įvykių žurnalo klaidos, susijusios su CVE-2023-24932

• Dažnai užduodami klausimai (DUK)

• Įkrovos trikčių diagnostika

• Atkūrimo procedūra

• Nuorodos

• Pakeitimų žurnalas

Suvestinė

Šiame straipsnyje aprašoma apsauga nuo viešai atskleistos saugiosios įkrovos saugos funkcijos apėjimo, kuris naudoja "BlackLotus UEFI" įkrovos rinkinį, sekamą CVE-2023-24932, kaip įgalinti rizikos mažinimą ir nurodymus dėl paleidžiamos laikmenos. Įkrovos rinkinys yra kenkėjiška programa, skirta įkelti kaip įmanoma anksčiau įrenginių paleidimo sekoje, kad būtų galima valdyti operacinės sistemos paleidimą.

"Microsoft" rekomenduoja saugiąją įkrovą padaryti saugiu ir patikimu keliu iš bendrosios išplėstinės programinės-aparatinės įrangos sąsajos (UEFI) per "Windows" branduolio patikimos įkrovos seką. Saugi įkrova padeda išvengti paleidimo rinkinio kenkėjiškų programų paleidimo sekoje. Išjungus saugią paleistį įrenginys gali būti užkrėstas paleidimo rinkinio kenkėjiška programa. Norint išspręsti saugiosios įkrovos apėjimo apėjimo, aprašyto CVE-2023-24932, reikia atšaukti įkrovos tvarkytuvus. Tai gali sukelti problemų dėl kai kurių įrenginio įkrovos konfigūracijų.

Rizikos mažinimo priemonės dėl saugiosios įkrovos apėjimo, aprašytos CVE-2023-24932 , yra įtrauktos į "Windows" saugos naujinimus, kurie buvo išleisti 2024 m. balandžio 9 d. arba vėliau. Tačiau šie mažinimai nėra įjungtas pagal numatytuosius parametrus. Su šiais naujinimais rekomenduojame pradėti vertinti šiuos pakeitimus savo aplinkoje. Visas tvarkaraštis aprašytas skyriuje Naujinimų laikas .

Prieš įgalindami šiuos mažinimus, turėtumėte išsamiai peržiūrėti šiame straipsnyje esančią informaciją ir nustatyti, ar turite įjungti rizikos mažinimą arba laukti būsimo naujinimo iš "Microsoft". Jei pasirinksite įgalinti rizikos mažinimą, turite patikrinti, ar jūsų įrenginiai atnaujinti ir paruošti, ir suprasti šiame straipsnyje aprašytą riziką. 

Šio leidimo gairės

Šiame leidime atlikite šiuos du veiksmus.

1 veiksmas: "Windows" saugos naujinimo

diegimas Įdiekite "Windows" mėnesinį saugos naujinimą, išleistą 2024 m. balandžio 9 d. arba vėliau palaikomuose "Windows" įrenginiuose. Šie naujinimai apima rizikos mažinimą CVE-2023-24932, bet nėra įjungta pagal numatytuosius parametrus. Visi "Windows" įrenginiai turėtų atlikti šį veiksmą, nesvarbu, ar planuojate diegti mažinimus.

2 veiksmas: keitimų

įvertinimas Rekomenduojame atlikti šiuos veiksmus:

• Supraskite pirmuosius du rizikos mažinimus, leidžiančius atnaujinti saugiosios įkrovos DB ir atnaujinti įkrovos tvarkytuvą.

• Peržiūrėkite atnaujintą tvarkaraštį.

• Pradėkite tikrinti pirmąsias dvi rizikos mažinimo priemones pagal tipinius įrenginius iš savo aplinkos.

• Pradėkite planuoti diegimo etapą, artėjantį 2024 m. liepos 9 d.

3 veiksmas: įgalinkite keitimus

Raginame jus suprasti riziką, nurodytą skyriuje Apie riziką.

• Supraskite atkūrimo ir kitų paleidžiamų laikmenų poveikį.

• Pradėkite tikrinti trečiąjį rizikos mažinimą, kuris nepatikimas pasirašymo sertifikatu, naudojamu visose ankstesnėse "Windows" įkrovos tvarkytuvuose.

Rizikos mažinimo diegimo gairės

Prieš atlikdami šiuos rizikos mažinimo priemonių taikymo veiksmus, palaikomuose "Windows" įrenginiuose įdiekite "Windows" mėnesinį priežiūros naujinimą, išleistą 2024 m. balandžio 9 d. arba vėliau. Šis naujinimas apima rizikos mažinimą CVE-2023-24932, bet jie nėra įjungti pagal numatytuosius parametrus. Visi "Windows" įrenginiai turėtų atlikti šį veiksmą neatsižvelgiant į jūsų planą įgalinti rizikos mažinimą.

Norėdami įdiegti naujinimą ir taikyti atšaukimus, atlikite šiuos veiksmus:

1. Įdiekite atnaujintus sertifikatų aprašus į DB.

   Šis veiksmas įtrauks "Windows UEFI CA 2023" sertifikatą į UEFI "Saugiosios įkrovos parašo duomenų bazė" (DB). Įtraukus šį sertifikatą į DB, įrenginio programinė-aparatinė įranga patikės paleidimo programomis, pasirašytomis šiuo sertifikatu.

   1. Atidarykite administratoriaus komandinę eilutę ir nustatykite regkey atlikti naujinimą į DB įvesdami šią komandą:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      SVARBU Prieš pereidami prie 2 ir 3 veiksmų, būtinai du kartus iš naujo paleiskite įrenginį, kad užbaigtumėte naujinimo diegimą.

   2. Paleiskite šią "PowerShell" komandą kaip administratorius ir patikrinkite, ar DB buvo sėkmingai atnaujinta. Ši komanda turi grąžinti True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Atnaujinkite įkrovos tvarkytuvą savo įrenginyje.

   Šis veiksmas įdiegs įkrovos tvarkytuvo programą jūsų įrenginyje, kuris yra pasirašytas "Windows UEFI CA 2023" sertifikatu.

   1. Atidarykite administratoriaus komandinę eilutę ir nustatykite regkey, kad įdiegtumėte "Windows UEFI CA 2023" pasirašytą įkrovos tvarkytuvą:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Iš naujo paleiskite įrenginį du kartus.

   3. Kaip administratorius, prijunkite EFI skaidinį, kad jis būtų paruoštas patikrinti:

      mountvol s: /s

   4. Patikrinkite, ar failas "s:\efi\microsoft\boot\boot\bootmgfw.efi" yra pasirašytas "Windows UEFI CA 2023" sertifikatu. Norėdami tai padaryti, atlikite šiuos veiksmus:

      1. Spustelėkite Pradėti, lauke Ieška įveskite komandinė eilutė ir spustelėkite Komandinė eilutė.

      2. Lange Komandinė eilutė įveskite šią komandą ir paspauskite klavišą "Enter":

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Failų tvarkytuve dešiniuoju pelės mygtuku spustelėkite failą C:\bootmgfw_2023.efi, spustelėkite Ypatybės, tada pasirinkite skirtuką Skaitmeniniai parašai .

      4. Sąraše Parašas patvirtinkite, kad sertifikatų grandinėje yra "Windows UEFI CA 2023". Sertifikatų grandinė turi atitikti šią ekrano nuotrauką:
         
         

3. Įgalinti atšaukimą.

   UEFI draudžiamų naudoti sąrašas (DBX) naudojamas nepatikimiems UEFI moduliams blokuoti. Atliekant šį veiksmą, atnaujinant DBX bus įtraukti "Windows gamybos CA 2011" sertifikatą į DBX. Dėl to visi šiuo sertifikatu pasirašyti paleidimo vadovai nebebus patikimi.

   ĮSPĖJIMAS: prieš taikydami trečiąjį rizikos mažinimą, sukurkite atkūrimo "flash" atmintinę, kurią galima naudoti norint paleisti sistemą. Informacijos, kaip tai padaryti, ieškokite skyriuje "Windows" diegimo laikmenos naujinimas.

   Jei jūsų sistema tampa nepakrauta, atlikite veiksmus, nurodytus skyriuje Atkūrimo procedūra, kad iš naujo nustatytumėte įrenginio išankstinio atšaukimo būseną.

   1. Įtraukite "Windows Production PCA 2011" sertifikatą į saugiosios įkrovos UEFI draudžiamų įrankių sąrašą (DBX). Norėdami tai padaryti, atidarykite komandinės eilutės langus kaip administratorius, įveskite šią komandą ir paspauskite Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Paleiskite įrenginį iš naujo du kartus ir įsitikinkite, kad jis buvo visiškai paleistas iš naujo.

   3. Patikrinkite, ar diegimo ir atšaukimo sąrašas sėkmingai pritaikytas įvykių žurnale ieškant įvykio 1037.
      
      Informacijos apie 1037 įvykį žr. KB5016061: Saugiosios įkrovos DB ir DBX kintamojo naujinimo įvykiai. Arba paleiskite šią "PowerShell" komandą kaip administratorius ir įsitikinkite, kad ji pateikia true:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Paleidžiamos laikmenos

Kai diegimo etapas prasidės jūsų aplinkoje, bus svarbu atnaujinti paleidžiamą laikmeną. Gairės ir įrankiai, skirti medijos naujinimui, bus pateikti diegimo etapui. Diegimo etapas planuojamas pradėti 2024 m. liepos 9 d.

Paleidžiamos laikmenos ir atkūrimo laikmenos, kurią paveikė ši problema, pavyzdžiai:

• Paleidžiamos laikmenos, sukurtos naudojant atkūrimo disko kūrimas.

• "Windows" atsarginės kopijos, kurios buvo atvaizduotos prieš taikant mažinimus. Šių įrenginių nebus galima tiesiogiai naudoti norint atkurti "Windows" įdiegtį, kai įrenginyje bus įgalinti atšaukimai.

• Jūsų, jūsų įrenginio gamintojo (OĮG) arba įmonių sukurtas pasirinktinis CD/DVD arba atkūrimo skaidinys.

• ISO (atsisiunčiant arba naudojant ADK).

• Tinklo įkrova:

  • "Windows" diegimo tarnybos.

  • "Preboot Execution Environment" paleidimo tarnybos (PXE paleidimo tarnybos).

  • "Microsoft" diegimo įrankių rinkinys.

  • HTTPS įkrova.

• OĮG diegimo ir atkūrimo laikmena.

• Oficiali "Windows" medija iš "Microsoft", įskaitant:

  • Mažmeninės prekybos medija.

  • Laikmenos kūrimo įrankis (ISO arba USB atmintinė).

  • VLSC.

  • "Visual Studio" prenumeratoriaus atsisiuntimai.

  • USB atmintinė.

• "Windows PE".

• "Windows" įdiegta fizinėje aparatūroje arba virtualiosiose mašinose.

• "Windows" tikrinimo OS.

Jei naudojate paleidžiamą laikmeną asmeniniame "Windows" įrenginyje, prieš taikant atšaukimą gali tekti atlikti vieną ar kelis iš šių veiksmų:

• Jei naudojate asmeninę atsarginių kopijų programinę įrangą įrenginio turiniui įrašyti, įdiegę 2024 m. balandžio 9 d. pažeidžiamumą mažinančias priemones būtinai paleiskite visą atsarginę kopiją.

• Jei naudojate įkrovos disko atvaizdą (ISO), kompaktinių diskų arba DVD laikmeną, atnaujinkite laikmeną vykdydami nurodymus, kurie bus pateikti vėliau.

Įmonė

• Peržiūrėkite išsamias "Windows" diegimo laikmenos naujinimo su dinaminiu naujinimu gaires ir scenarijus.

• Jei jūsų aplinkoje palaikote tinklo paleidimo arba atkūrimo scenarijus, turėsite atnaujinti visą mediją ir vaizdus. Tai gali būti šios paleidimo arba atkūrimo parinktys:

  • "Microsoft" diegimo įrankių rinkinys.

  • "Microsoft Endpoint Configuration Manager".

  • "Windows" diegimo tarnybos.

  • PxE įkrova.

  • HTTPS paleidimo ir kiti tinklo paleidimo scenarijai.

• Vienas iš būdų tai padaryti – naudojant DISM autonominio paketo diegimą vaizduose, kuriuos aptarnauja šie scenarijai. Tai apima įkrovos failų, kuriuos siūlo šios tarnybos, naujinimą.

• Jei naudojate atsarginės programinės įrangos atsarginę programinę įrangą įrašyti "Windows" diegimo turinį į atkūrimo atvaizdą, įsitikinkite, kad paleisti visą atsarginę kopiją pritaikius 2024 m. balandžio 9 d. mažinimą. Be "Windows" operacinės sistemos skaidinio, būtinai sukurkite atsarginę EFI disko skaidinio kopiją. Aiškiai nustatykite atsargines kopijas, padarytas prieš taikant 2024 m. balandžio 9 d. mažinimą, ir tas, kurios buvo sukurtos pritaikius mažinimą.

"Windows" kompiuterio OĮG

• Peržiūrėkite išsamias "Windows" diegimo laikmenos naujinimo su dinaminiu naujinimu gaires ir scenarijus.

"Windows" diegimo laikmenos naujinimas

Galite naudoti atkūrimo disko kūrimo programą atlikdami toliau nurodytus veiksmus. Šią laikmeną galima naudoti iš naujo įdiegiant įrenginį, jei yra didelė problema, pvz., aparatūros triktis, galėsite naudoti atkūrimo diską ir iš naujo įdiegti "Windows".

1. Eikite į įrenginį, kuriame buvo pritaikyti 2024 m. balandžio 9 d. naujinimai ir pirmasis rizikos mažinimo veiksmas (saugiosios įkrovos DB naujinimas).

2. Pradžios meniu ieškokite valdymo skydo programėlės "Atkūrimo disko kūrimas" ir vykdykite nurodymus, kad sukurtumėte atkūrimo diską.

3. Naujai sukurtą "flash" atmintinę pritaisę (pvz., kaip atmintinę "D:"), paleiskite šias komandas kaip administratorius. Įveskite kiekvieną iš toliau nurodytų komandų ir paspauskite klavišą "Enter":

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Jei savo aplinkoje valdote diegiamą mediją naudodami "Windows" diegimo laikmenos naujinimą su dinaminiu naujinimu , atlikite toliau nurodytus veiksmus. Šie papildomi veiksmai sukurs įkrovos "flash" atmintinę, kuri naudoja įkrovos failus, pasirašytus "Windows UEFI CA 2023" pasirašymo sertifikatu.

1. Eikite į įrenginį, kuriame buvo pritaikytas 2024 m. balandžio 9 d. naujinimas ir pirmasis rizikos mažinimo veiksmas (saugiosios įkrovos DB naujinimas).

2. Atlikite toliau pateiktame saite nurodytus veiksmus, kad sukurtumėte mediją su 2024 m. balandžio 9 d. naujinimais. "Windows" diegimo laikmenos naujinimas naudojant dinaminį naujinimą

3. Įdėkite laikmenos turinį į USB atmintinę ir prijunkite atmintinę kaip disko raidę. Pavyzdžiui, prijunkite atmintinę kaip "D:".

4. Vykdykite šias komandas iš komandų lango administratoriaus teisėmis. Įveskite kiekvieną iš toliau nurodytų komandų ir paspauskite klavišą "Enter".

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Jei pritaikius rizikos mažinimo priemones įrenginio saugiosios įkrovos parametrai atkuriami į numatytuosius, įrenginys nebus įkraunamas. Norėdami išspręsti šią problemą, atkūrimo programa yra įtraukta į 2024 m. balandžio 9 d. naujinimus, kurie gali būti naudojami iš naujo taikyti "Windows UEFI CA 2023" sertifikatą DB (mažinimas #1).

1. Eikite į įrenginį, kuriame buvo pritaikyti 2024 m. balandžio 9 d. naujinimai.

2. Komandos lange nukopijuokite atkūrimo programėlę į "flash" atmintinę naudodami šias komandas (jei "flash" atmintinė yra "D:" diskas). Kiekvieną komandą įveskite atskirai ir paspauskite klavišą "Enter":

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Įrenginyje, kuriame yra saugiosios įkrovos parametrų numatytieji parametrai, įdėkite "flash" atmintinę, iš naujo paleiskite įrenginį ir paleiskite iš "flash" atmintinės.

Naujinimų laikas

Naujinimai išleidžiami taip:

• Pradinis diegimas Šis etapas pradėtas su naujinimais, išleistais 2023 m. gegužės 9 d., ir pateikė pagrindines rizikos mažinimo priemones rankiniu būdu, kad įgalintumėte šias priemones.

• Antras diegimas Šis etapas pradėtas nuo 2023 m. liepos 11 d. išleistų naujinimų, kurie įtraukė supaprastintus veiksmus, kad būtų galima įgalinti problemos mažinimą.

• Vertinimo etapas Šis etapas prasidės 2024 m. balandžio 9 d. ir įtrauks papildomų įkrovos tvarkytuvo mažinimų.

• Galutinis diegimo etapas Taip nutinka, kai paskatinsime visus klientus pradėti diegti rizikos mažinimus ir atnaujinti mediją.

• Vykdymo etapas Vykdymo etapas, dėl kurio mažinimai bus nuolatiniai. Šio etapo data bus paskelbta vėliau.

Pastaba Prireikus išleidimo tvarkaraštis gali būti persvarstytas.

"Windows" įvykių žurnalo klaidos, susijusios su CVE-2023-24932

"Windows" įvykių žurnalo įrašai, susiję su DB ir DBX naujinimu, išsamiai aprašyti KB5016061: saugiosios įkrovos DB ir DBX kintamojo naujinimo įvykiai.

"Sėkmės" įvykiai, susiję su rizikos mažinimų pritaikymu, išvardyti šioje lentelėje.

Dažnai užduodami klausimai (DUK)

Įkrovos trikčių diagnostika

Pritaikius visus tris rizikos mažinimus, įrenginio programinė-aparatinė įranga nebus įkraunama naudojant įkrovos tvarkytuvą, pasirašytą "Windows Production PCA 2011". Programinės-aparatinės įrangos praneštos įkrovos triktys yra susijusios su konkrečiu įrenginiu. Žr. skyrių Atkūrimo procedūra .

Atkūrimo procedūra

Jei taikant rizikos mažinimą kažkas nepavyksta ir negalite paleisti įrenginio arba jums reikia paleisti iš išorinės laikmenos (pvz., atmintinės arba PXE įkrovos), išbandykite šiuos pasiūlymus:

1. Išjunkite saugią įkrovą.
   
   Ši procedūra skiriasi įrenginių gamintojais ir modeliais. Įveskite savo įrenginių UEFI BIOS meniu ir pereikite prie saugiosios įkrovos parametrų ir jį išjunkite. Informacijos apie šį procesą ieškokite įrenginio gamintojo dokumentuose. Daugiau informacijos galima rasti saugiosios įkrovos išjungimas.

2. Iš naujo nustatykite saugiosios įkrovos kodus į gamyklinius numatytuosius parametrus.

   Jei įrenginys palaiko saugiosios įkrovos kodų gamyklinių parametrų nustatymą iš naujo, atlikite šį veiksmą dabar.

   PASTABA Kai kurie įrenginių gamintojai apsaugotos įkrovos kintamiesiems turi parinktį "Valyti" ir "Nustatyti iš naujo", tokiu atveju reikėtų naudoti parinktį "Nustatyti iš naujo". Tikslas – grąžinti saugiosios įkrovos kintamuosius gamintojams numatytąsias reikšmes.

   Jūsų įrenginys turėtų būti paleistas dabar, bet atkreipkite dėmesį, kad jis pažeidžiamas įkrovos rinkinio kenkėjiškų programų. Būtinai atlikite šio atkūrimo proceso 5 veiksmą, kad vėl įjungtumėte saugią įkrovą.

3. Pabandykite paleisti "Windows" sistemos diske.

   1. Prisijungimas prie Windows.

   2. Vykdykite šias administratoriaus komandinės eilutės komandas, kad atkurtumėte įkrovos failus EFI sistemos įkrovos skaidinyje. Kiekvieną komandą įveskite atskirai ir paspauskite klavišą "Enter":

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Paleidus "BCDBoot" grąžinama "Paleidimo failai sėkmingai sukurti". Kai bus parodytas šis pranešimas, iš naujo paleiskite įrenginį atgal į "Windows".

4. Jei atlikus 3 veiksmą nepavyksta sėkmingai atkurti įrenginio, iš naujo įdiekite "Windows".

   1. Paleiskite įrenginį iš esamos atkūrimo laikmenos.

   2. Pereikite prie "Windows" diegimo naudodami atkūrimo laikmeną.

   3. Prisijungimas prie Windows.

   4. Iš naujo paleiskite "Windows", kad įsitikintumėte, jog įrenginys vėl paleidžiamas sistemoje "Windows".

5. Iš naujo įjunkite saugiąją įkrovą ir iš naujo paleiskite įrenginį.
   
   Įveskite įrenginio UEFI meniu ir pereikite prie saugiosios įkrovos parametrų ir jį įjunkite. Informacijos apie šį procesą ieškokite įrenginio gamintojo dokumentuose. Daugiau informacijos galima rasti skyriuje "Iš naujo įgalinti saugiąją įkrovą".

Nuorodos

• Rekomendacijos, kaip tirti atakas naudojant CVE-2022-21894: "BlackLotus" kampanija

• Saugi įkrova

• Saugiosios įkrovos įgalinimas užregistruotuose "Windows" įrenginiuose

• Apie įvykius, kurie generuojami taikant DBX naujinimus, žr. KB5016061: Pažeidžiamų ir atšauktų paleidimo tvarkytuvų sprendimas.