KB5025885: Jak zarządzać odwołaniami Menedżera rozruchu systemu Windows w przypadku zmian bezpiecznego rozruchu skojarzonych z CVE-2023-24932

W tym artykule

• Podsumowanie

  • Podejmij działanie

  • Zakres wpływu

  • Opis zagrożeń

  • Znane problemy

• Wskazówki dotyczące tej wersji

• Wskazówki dotyczące wdrażania łagodzenia

• Nośnik rozruchowy

• Aktualizowanie nośnika instalacyjnego systemu Windows

• Chronometraż aktualizacji

• Błędy dziennika zdarzeń systemu Windows związane z OKS-2023-24932

• Często zadawane pytania (często zadawane pytania)

• Rozwiązywanie problemów z rozruchem

• Procedura odzyskiwania

• Informacje pomocnicze

• Dziennik zmian

Podsumowanie

W tym artykule opisano ochronę przed ujawnioną publicznie funkcją zabezpieczeń bezpiecznego rozruchu, która korzysta z zestawu rozruchowego UEFI blacklotus śledzonego przez CVE-2023-24932, jak włączyć środki łagodzące i wskazówki dotyczące nośnika rozruchowego. Bootkit to złośliwy program przeznaczony do jak najszybszego ładowania w sekwencji rozruchu urządzeń w celu sterowania uruchomieniem systemu operacyjnego.

Bezpieczny rozruch jest zalecany przez firmę Microsoft w celu utworzenia bezpiecznej i zaufanej ścieżki z interfejsu Unified Extensible Firmware Interface (UEFI) za pośrednictwem sekwencji zaufanego rozruchu jądra systemu Windows. Bezpieczny rozruch zapobiega występowaniu złośliwego oprogramowania w sekwencji rozruchu. Wyłączenie bezpiecznego rozruchu naraża urządzenie na ryzyko zainfekowania go złośliwym oprogramowaniem typu bootkit. Naprawa obejścia bezpiecznego rozruchu opisanego w cve-2023-24932 wymaga odwoływania menedżerów rozruchu. Może to spowodować problemy w przypadku niektórych konfiguracji rozruchu urządzenia.

Środki łagodzące związane z obejściem bezpiecznego rozruchu opisane w temacie CVE-2023-24932 są zawarte w aktualizacjach zabezpieczeń systemu Windows, które zostały wydane 9 kwietnia 2024 r. lub później. Jednak te środki łagodzące nie są domyślnie włączone. W przypadku tych aktualizacji zalecamy rozpoczęcie oceny tych zmian w środowisku. Pełny harmonogram jest opisany w sekcji Chronometraż aktualizacji .

Przed włączeniem tych środków łagodzących należy dokładnie zapoznać się ze szczegółami tego artykułu i ustalić, czy należy włączyć środki łagodzące, czy poczekać na przyszłą aktualizację od firmy Microsoft. Jeśli włączysz środki łagodzące, musisz sprawdzić, czy twoje urządzenia są zaktualizowane i gotowe, oraz zrozumieć zagrożenia opisane w tym artykule. 

Wskazówki dotyczące tej wersji

W tej wersji wykonaj te dwie czynności.

Krok 1. Instalowanie aktualizacji

zabezpieczeń systemu Windows Zainstaluj comiesięczną aktualizację zabezpieczeń systemu Windows wydaną 9 kwietnia 2024 r. lub później na obsługiwanych urządzeniach z systemem Windows. Te aktualizacje obejmują środki łagodzące dla cve-2023-24932, ale domyślnie nie są włączone. Wszystkie urządzenia z systemem Windows powinny wykonać ten krok niezależnie od tego, czy zamierzasz wdrożyć środki łagodzące.

Krok 2. Szacowanie zmian

Zachęcamy do wykonania następujących czynności:

• Poznaj dwa pierwsze środki łagodzące, które umożliwiają zaktualizowanie bazy danych bezpiecznego rozruchu i zaktualizowanie menedżera rozruchu.

• Przejrzyj zaktualizowany harmonogram.

• Rozpocznij testowanie dwóch pierwszych środków zaradczych na reprezentatywnych urządzeniach ze środowiska.

• Rozpocznij planowanie fazy wdrażania, która odbędzie się 9 lipca 2024 r.

Krok 3. Wymuszanie zmian

Zachęcamy do zrozumienia ryzyka przedstawionego w sekcji Opis czynników ryzyka.

• Opis wpływu na odzyskiwanie i inne nośniki rozruchowe.

• Rozpocznij testowanie trzeciego łagodzenia, które nie ufa certyfikatowi podpisywania używanego dla wszystkich poprzednich menedżerów rozruchu systemu Windows.

Wskazówki dotyczące wdrażania łagodzenia

Przed wykonaniem tych kroków w celu zastosowania środków łagodzących zainstaluj comiesięczną aktualizację obsługi systemu Windows wydaną 9 kwietnia 2024 r. lub później na obsługiwanych urządzeniach z systemem Windows. Ta aktualizacja zawiera środki łagodzące dla cve-2023-24932, ale nie są one domyślnie włączone. Wszystkie urządzenia z systemem Windows powinny wykonać ten krok niezależnie od planu, aby włączyć środki łagodzące.

Aby wdrożyć aktualizację i zastosować odwołania, wykonaj następujące czynności:

1. Zainstaluj zaktualizowane definicje certyfikatów w bazie danych.

   Ten krok spowoduje dodanie certyfikatu "Windows UEFI CA 2023" do uefi "Secure Boot Signature Database" (DB). Dodając ten certyfikat do bazy danych, oprogramowanie układowe urządzenia będzie ufać aplikacjom rozruchowym podpisanym za pomocą tego certyfikatu.

   1. Otwórz wiersz polecenia administratora i ustaw klucz rejestru, aby wykonać aktualizację bazy danych, wprowadzając następujące polecenie:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      WAŻNE Pamiętaj o dwukrotnym ponownym uruchomieniu urządzenia w celu ukończenia instalacji aktualizacji przed przejściem do kroków 2 i 3.

   2. Uruchom następujące polecenie programu PowerShell jako administrator i sprawdź, czy baza danych została pomyślnie zaktualizowana. To polecenie powinno zwrócić wartość Prawda.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Zaktualizuj Menedżera rozruchu na urządzeniu.

   Ten krok spowoduje zainstalowanie na urządzeniu aplikacji Menedżera rozruchu, która jest podpisana certyfikatem "'Windows UEFI CA 2023".

   1. Otwórz wiersz polecenia administratora i ustaw klucz rejestru w celu zainstalowania podpisanego menedżera rozruchu "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Uruchom ponownie urządzenie dwa razy.

   3. Jako administrator zainstaluj partycję EFI, aby przygotować ją do inspekcji:

      mountvol s: /s

   4. Sprawdź, czy plik "s:\efi\microsoft\boot\bootmgfw.efi" jest podpisany certyfikatem "Windows UEFI CA 2023". W tym celu wykonaj następujące czynności:

      1. Kliknij przycisk Start, wpisz wiersz polecenia w polu Search, a następnie kliknij pozycję Wiersz polecenia.

      2. W oknie Wiersz polecenia wpisz następujące polecenie, a następnie naciśnij klawisz Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. W Menedżerze plików kliknij prawym przyciskiem myszy plik C:\bootmgfw_2023.efi, kliknij pozycję Właściwości, a następnie wybierz kartę Podpisy cyfrowe .

      4. Na liście Podpis upewnij się, że łańcuch certyfikatów zawiera pakiet WINDOWS UEFI CA 2023. Łańcuch certyfikatów powinien być zgodny z następującym zrzutem ekranu:
         
         

3. Włącz odwołanie.

   Lista zabroniona interfejsu UEFI (DBX) służy do blokowania ładowania niezaufanych modułów UEFI. W tym kroku zaktualizowanie rekordu DBX spowoduje dodanie certyfikatu "Windows Production CA 2011" do rekordu DBX. Spowoduje to, że wszyscy menedżerowie rozruchu podpisani za pomocą tego certyfikatu nie będą już zaufani.

   OSTRZEŻENIE: Przed zastosowaniem trzeciego ograniczenia utwórz dysk flash odzyskiwania, którego można użyć do rozruchu systemu. Aby dowiedzieć się, jak to zrobić, zobacz sekcję Aktualizowanie nośnika instalacyjnego systemu Windows.

   Jeśli system przechodzi w stan niestartowy, wykonaj czynności opisane w sekcji Procedura odzyskiwania, aby zresetować urządzenie do stanu sprzed odwołania.

   1. Dodaj certyfikat "Windows Production PCA 2011" do listy zakazanych plików UEFI bezpiecznego rozruchu (DBX). W tym celu otwórz okno wiersza polecenia jako administrator, wpisz następujące polecenie, a następnie naciśnij klawisz Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Uruchom ponownie urządzenie dwa razy i upewnij się, że zostało całkowicie ponownie uruchomione.

   3. Sprawdź, czy lista instalacji i odwołań została pomyślnie zastosowana, szukając zdarzenia 1037 w dzienniku zdarzeń.
      
      Aby uzyskać informacje o zdarzeniu 1037, zobacz KB5016061: zdarzenia aktualizacji zmiennych DB bezpiecznego rozruchu i DBX. Ewentualnie uruchom następujące polecenie programu PowerShell jako administrator i upewnij się, że zwraca wartość Prawda:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Nośnik rozruchowy

Po rozpoczęciu fazy wdrażania w środowisku należy zaktualizować nośnik rozruchowy. Wskazówki i narzędzia do aktualizowania multimediów zostaną udostępnione w terminie na etap wdrażania. Faza wdrażania ma się rozpocząć 9 lipca 2024 r.

Przykłady nośnika rozruchowego i nośnika odzyskiwania, na które ma wpływ ten problem:

• Nośnik rozruchowy utworzony przy użyciu funkcji Utwórz dysk odzyskiwania.

• Kopie zapasowe systemu Windows, które zostały obrazowe przed zastosowaniem środków łagodzących. Nie będzie można bezpośrednio przywrócić instalacji systemu Windows po włączeniu odwołań na urządzeniu.

• Niestandardowa partycja CD/DVD lub partycja odzyskiwania utworzona przez Ciebie, producenta urządzenia (OEM) lub przedsiębiorstwa.

• ISO (poprzez pobranie lub użycie ADK).

• Rozruch sieci:

  • Usługi wdrażania systemu Windows.

  • Usługi rozruchu środowiska wykonawczego przed uruchomieniem (usługi rozruchu PXE).

  • Zestaw narzędzi firmy Microsoft do wdrażania.

  • Rozruch https.

• Nośnik instalacyjny i odzyskiwania OEM.

• Oficjalne nośniki systemu Windows firmy Microsoft, w tym:

  • Media detaliczne.

  • Narzędzie do tworzenia nośników (ISO lub dysk USB).

  • VLSC.

  • Visual Studio — pliki do pobrania dla subskrybentów.

  • dysk USB.

• Windows PE.

• System Windows zainstalowany na fizycznych urządzeniach lub maszynach wirtualnych.

• System operacyjny Sprawdzanie poprawności systemu Windows.

Jeśli korzystasz z nośnika rozruchowego z osobistym urządzeniem z systemem Windows, przed zastosowaniem odwołań może być konieczne wykonanie co najmniej jednej z następujących czynności:

• Jeśli do zapisywania zawartości urządzenia używasz osobistego oprogramowania do tworzenia kopii zapasowych, po zastosowaniu środków łagodzących z 9 kwietnia 2024 r. uruchom pełną kopię zapasową.

• Jeśli używasz rozruchowego obrazu dysku (ISO), nośnika CD-ROM lub DVD, zaktualizuj nośnik, wykonując instrukcje podane w późniejszym terminie.

Enterprise

• Zapoznaj się z kompleksowymi wskazówkami i skryptami dotyczącymi aktualizacji nośnika instalacyjnego systemu Windows za pomocą aktualizacji dynamicznej.

• Jeśli obsługujesz scenariusze rozruchu sieci lub odzyskiwania w środowisku, musisz zaktualizować wszystkie multimedia i obrazy. Mogą to być następujące opcje rozruchu lub odzyskiwania:

  • Zestaw narzędzi firmy Microsoft do wdrażania.

  • Configuration Manager punktu końcowego firmy Microsoft.

  • Usługi wdrażania systemu Windows.

  • Rozruch PxE.

  • Uruchamianie protokołu HTTPS i inne scenariusze rozruchu sieci.

• Jednym ze sposobów jest użycie instalacji pakietu dism w trybie offline na obrazach, które są obsługiwane w tych scenariuszach. Obejmuje to zaktualizowanie plików rozruchu oferowanych przez te usługi.

• Jeśli używasz oprogramowania do tworzenia kopii zapasowych w celu zapisania zawartości instalacji systemu Windows w obrazie odzyskiwania, pamiętaj o uruchomieniu pełnej kopii zapasowej po zastosowaniu środków łagodzących z 9 kwietnia 2024 r. Pamiętaj, aby utworzyć kopię zapasową partycji dysku EFI oprócz partycji systemu operacyjnego Windows. Wyraźnie określ kopie zapasowe wykonane przed zastosowaniem środków łagodzących z 9 kwietnia 2024 r. w porównaniu z tymi wykonanymi po zastosowaniu środków łagodzących.

OEM na komputerach z systemem Windows

• Zapoznaj się z kompleksowymi wskazówkami i skryptami dotyczącymi aktualizacji nośnika instalacyjnego systemu Windows za pomocą aktualizacji dynamicznej.

Aktualizowanie nośnika instalacyjnego systemu Windows

Możesz użyć aplikacji Create Recovery Drive , wykonując poniższe czynności. Za pomocą tego nośnika można ponownie zainstalować urządzenie w przypadku wystąpienia poważnego problemu, takiego jak awaria sprzętu, za pomocą dysku odzyskiwania można ponownie zainstalować system Windows.

1. Przejdź do urządzenia, na którym zostały zastosowane aktualizacje z 9 kwietnia 2024 r. i pierwszy krok łagodzenia (aktualizacja bazy danych bezpiecznego rozruchu).

2. W menu Start wyszukaj aplet "Utwórz dysk odzyskiwania" i postępuj zgodnie z instrukcjami, aby utworzyć dysk odzyskiwania.

3. Po zamontowaniu nowo utworzonego dysku flash (na przykład jako "D:") uruchom następujące polecenia jako administrator. Wpisz każde z następujących poleceń, a następnie naciśnij klawisz Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Jeśli zarządzasz nośnikiem instalacyjnym w swoim środowisku przy użyciu nośnika instalacyjnego aktualizacji systemu Windows ze wskazówkami dotyczącymi aktualizacji dynamicznych , wykonaj poniższe czynności. Te dodatkowe kroki umożliwią utworzenie rozruchowego dysku flash korzystającego z plików rozruchowych podpisanych za pomocą certyfikatu podpisywania "Windows UEFI CA 2023".

1. Przejdź do urządzenia, na którym 9 kwietnia 2024 r. zostały zastosowane aktualizacje i pierwszy krok łagodzenia (aktualizacja bazy danych bezpiecznego rozruchu).

2. Postępuj zgodnie z instrukcjami podanymi w poniższym linku, aby utworzyć multimedia z aktualizacjami z 9 kwietnia 2024 r. Aktualizowanie nośnika instalacyjnego systemu Windows za pomocą aktualizacji dynamicznej

3. Umieść zawartość nośnika na dysku USB i zamocuj go jako literę dysku. Na przykład zainstaluj dysk miniaturowy jako "D:".

4. Uruchom następujące polecenia z okna polecenia jako administrator. Wpisz każde z następujących poleceń, a następnie naciśnij klawisz Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Jeśli urządzenie ma ustawienia bezpiecznego rozruchu zresetowane do ustawień domyślnych po zastosowaniu środków łagodzących, urządzenie nie uruchamia się. Aby rozwiązać ten problem, aplikacja do naprawy jest dołączona do aktualizacji z 9 kwietnia 2024 r., których można użyć do ponownego zastosowania certyfikatu "WINDOWS UEFI CA 2023" do bazy danych (łagodzenie nr 1).

1. Przejdź do urządzenia, na którym zostały zastosowane aktualizacje z 9 kwietnia 2024 r.

2. W oknie polecenia skopiuj aplikację odzyskiwania na dysk flash, używając następujących poleceń (zakładając, że dysk flash to "D:"). Wpisz poszczególne polecenia osobno, a następnie naciśnij klawisz Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Na urządzeniu z ustawieniami bezpiecznego rozruchu zresetuj ustawienia do stanu domyślnego, włóż dysk flash, uruchom ponownie urządzenie i uruchom je z dysku flash.

Chronometraż aktualizacji

Aktualizacje są udostępniane w następujący sposób:

• Wdrożenie początkowe Ta faza rozpoczęła się od aktualizacji wydanych 9 maja 2023 r. i dostarczyła podstawowe środki łagodzące z ręcznymi krokami w celu włączenia tych środków łagodzących.

• Drugie wdrożenie Ten etap rozpoczął się od aktualizacji wydanych 11 lipca 2023 r., które dodały uproszczone kroki w celu włączenia środków łagodzących problem.

• Faza oceny Ta faza rozpocznie się 9 kwietnia 2024 r. i wprowadzi dodatkowe środki łagodzące dla menedżera rozruchu.

• Faza ostatecznego wdrażania Wtedy będziemy zachęcać wszystkich klientów do rozpoczęcia wdrażania środków łagodzących i aktualizowania nośników.

• Faza wymuszania Faza wymuszania, która spowoduje, że środki łagodzące stałe. Data tego etapu zostanie ogłoszona w późniejszym terminie.

Uwaga Harmonogram wersji może zostać zmieniony w razie potrzeby.

Błędy dziennika zdarzeń systemu Windows związane z OKS-2023-24932

Wpisy dziennika zdarzeń systemu Windows związane z aktualizacją DB i DBX opisano szczegółowo w KB5016061: zdarzeniach aktualizacji zmiennych DB bezpiecznego rozruchu i DBX.

Zdarzenia "sukcesu" związane ze stosowaniem środków łagodzących są wymienione w poniższej tabeli.

Często zadawane pytania (często zadawane pytania)

Rozwiązywanie problemów z rozruchem

Po zastosowaniu wszystkich trzech środków łagodzących oprogramowanie układowe urządzenia nie zostanie uruchomione przy użyciu menedżera rozruchu podpisanego przez windows production PCA 2011. Błędy rozruchu zgłaszane przez oprogramowanie układowe są specyficzne dla urządzenia. Zapoznaj się z sekcją Procedura odzyskiwania .

Procedura odzyskiwania

Jeśli coś pójdzie nie tak podczas stosowania środków łagodzących i nie możesz uruchomić urządzenia lub musisz uruchomić urządzenie z nośnika zewnętrznego (takiego jak dysk usb lub rozruch PXE), wypróbuj następujące sugestie:

1. Wyłącz bezpieczny rozruch.
   
   Ta procedura różni się między producentami i modelami urządzeń. Wprowadź na urządzeniach menu BIOS interfejsu UEFI, przejdź do ustawień bezpiecznego rozruchu i wyłącz je. Aby uzyskać szczegółowe informacje na temat tego procesu, zapoznaj się z dokumentacją producenta urządzenia. Więcej szczegółów można znaleźć w temacie Wyłączanie bezpiecznego rozruchu.

2. Zresetuj domyślne ustawienia kluczy bezpiecznego rozruchu do stanu początkowego.

   Jeśli urządzenie obsługuje resetowanie kluczy bezpiecznego rozruchu do domyślnych ustawień fabrycznych, wykonaj tę akcję teraz.

   UWAGA Niektórzy producenci urządzeń mają opcję "Wyczyść" i "Resetuj" dla zmiennych bezpiecznego rozruchu, w którym to przypadku należy użyć opcji "Resetuj". Celem jest przywrócenie wartości domyślnych producentów zmiennych bezpiecznego rozruchu.

   Urządzenie powinno rozpocząć się teraz, ale pamiętaj, że jest ono narażone na złośliwe oprogramowanie z zestawu rozruchowego. Upewnij się, że wykonasz krok 5 tego procesu odzyskiwania, aby ponownie włączyć bezpieczny rozruch.

3. Spróbuj uruchomić system Windows z dysku systemowego.

   1. Logowanie do systemu Windows.

   2. Uruchom następujące polecenia z wiersza polecenia administratora, aby przywrócić pliki rozruchu na partycji rozruchowej systemu EFI. Wpisz poszczególne polecenia osobno, a następnie naciśnij klawisz Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Uruchomienie funkcji BCDBoot zwraca wartość "Pomyślnie utworzono pliki rozruchowe". Po wyświetleniu tego komunikatu ponownie uruchom urządzenie do systemu Windows.

4. Jeśli krok 3 nie odzyska urządzenia, ponownie zainstaluj system Windows.

   1. Uruchom urządzenie z istniejącego nośnika odzyskiwania.

   2. Przejdź do instalacji systemu Windows przy użyciu nośnika odzyskiwania.

   3. Logowanie do systemu Windows.

   4. Uruchom ponownie system Windows, aby sprawdzić, czy urządzenie ponownie uruchamia się w systemie Windows.

5. Włącz ponownie bezpieczny rozruch i uruchom ponownie urządzenie.
   
   Wprowadź menu interfejsu UEFI urządzenia i przejdź do ustawień bezpiecznego rozruchu i włącz je. Aby uzyskać szczegółowe informacje na temat tego procesu, zapoznaj się z dokumentacją producenta urządzenia. Więcej informacji można znaleźć w sekcji "Ponowne włączanie bezpiecznego rozruchu".

Informacje pomocnicze

• Wskazówki dotyczące badania ataków przy użyciu CVE-2022-21894: Kampania BlackLotus

• Bezpieczny rozruch

• Włączanie bezpiecznego rozruchu na zarejestrowanych urządzeniach z systemem Windows

• W przypadku zdarzeń generowanych podczas stosowania aktualizacji DBX zobacz KB5016061: Rozwiązywanie problemów z podatnymi na zagrożenia i odwołanymi menedżerami rozruchu.