KB5042562: Diretrizes para bloquear a reversão de atualizações de segurança relacionadas à VBS (Segurança Baseada em Virtualização)

Neste artigo

• Resumo

• Escopo do Impacto

• Mitigações disponíveis

• Noções básicas sobre riscos de mitigação

• Diretrizes de implantação de mitigação

  • Implementando uma política de modo de auditoria

  • Implantando uma política de revogação assinada pela Microsoft (SKUSIPolicy.p7b)

  • ​​​​​​​ Atualizando mídia de inicialização externa

• Logs de Eventos do Windows

  • Eventos de ativação de política

  • Auditar e bloquear eventos

• Procedimento de remoção e recuperação de política

Resumo

A Microsoft foi informada de uma vulnerabilidade no Windows que permite que um invasor com privilégios de administrador substitua arquivos atualizados do sistema Windows que têm versões mais antigas, abrindo a porta para um invasor reintroduzir vulnerabilidades à VBS (segurança baseada em virtualização).  A reversão desses binários pode permitir que um invasor contorne os recursos de segurança da VBS e exfiltre dados protegidos pela VBS. Esse problema é descrito no CVE-2024-21302 | Vulnerabilidade de elevação de privilégio do modo kernel seguro do Windows.

Para resolver esse problema, revogaremos os arquivos vulneráveis do sistema VBS que não forem atualizados. Devido ao grande número de arquivos relacionados à VBS que devem ser bloqueados, usamos uma abordagem alternativa para bloquear versões de arquivo que não são atualizadas.

Escopo do Impacto

Todos os dispositivos Windows que dão suporte a VBS são afetados por esse problema. Isso inclui dispositivos físicos locais e VMs (máquinas virtuais). A VBS é compatível com o Windows 10 e versões posteriores do Windows, e com o Windows Server 2016 e versões posteriores do Windows Server.

O estado da VBS pode ser verificado por meio da ferramenta Informações do Sistema da Microsoft (Msinfo32.exe). Essa ferramenta coleta informações sobre seu dispositivo. Depois de iniciar o Msinfo32.exe, role para baixo até a linha de Segurança baseada em virtualização. Se o valor dessa linha estiver Em execução, a VBS estará habilitada e em execução.

O estado da VBS também pode ser verificado com o Windows PowerShell usando a classe WMI Win32_DeviceGuard. Para consultar o estado da VBS do PowerShell, abra uma sessão do Windows PowerShell elevada e execute o seguinte comando:

Depois de executar o comando do PowerShell acima, o status de estado da VBS deve ser um dos seguintes.

Mitigações disponíveis

Para todas as versões com suporte do Windows 10, versão 1809 e versões posteriores do Windows, Windows Server 2019 e versões posteriores do Windows Server, os administradores podem implantar uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b). Isso impedirá que versões vulneráveis de arquivos do sistema VBS que não são atualizados sejam carregadas pelo sistema operacional.

Quando essa política for aplicada a um dispositivo Windows, a política também será bloqueada ao dispositivo adicionando uma variável ao firmware UEFI. Durante a inicialização, a política é carregada e o Windows bloqueia o carregamento de binários que violam a política. Se o bloqueio UEFI for aplicado e a política for removida ou substituída por uma versão mais antiga, o gerenciador de inicialização do Windows não será iniciado e o dispositivo também não. Essa falha de inicialização não mostrará um erro e o sistema seguirá para a próxima opção de inicialização disponível, o que pode resultar em um loop de inicialização.

Para que a mitigação de política funcione, o dispositivo deve ser atualizado com a atualização do Windows lançada em ou após 13 de agosto de 2024. Se houver atualizações ausentes, o dispositivo pode não começar com a mitigação aplicada ou a mitigação pode não funcionar conforme o esperado. Além disso, as mitigações descritas em KB5025885 devem ser aplicadas ao seu dispositivo.

Importante Não aplique essa mitigação a versões do Windows anteriores ao Windows 10, versão 1809 ou versões do Windows Server anteriores ao Windows Server 2019. Se a mitigação for aplicada a dispositivos sem suporte, os dispositivos não serão iniciados e você receberá um erro 0xc0000428. Você precisará seguir as instruções na seção Procedimento de remoção e recuperação de política para recuperar.

Noções básicas sobre riscos de mitigação

Você precisa estar ciente de possíveis riscos antes de aplicar a política de revogação assinada pela Microsoft. Examine esses riscos e faça as atualizações necessárias para a mídia de recuperação antes de aplicar a mitigação.

• Código de Integridade do Modo de Usuário (UMCI) A política de revogação assinada pela Microsoft permite a integridade do código do modo de usuário para que as regras na política sejam aplicadas a binários do modo de usuário. O UMCI também habilita a Segurança de Código Dinâmico por padrão. A aplicação desses recursos pode introduzir problemas de compatibilidade com aplicativos e scripts, impedindo sua execução e impactando o desempenho no tempo de inicialização. Antes de implantar a mitigação, siga as instruções para implantar a política do modo de auditoria para testar possíveis problemas.

• Bloqueio UEFI e Desinstalação de atualizações. Depois de aplicar o bloqueio UEFI com a política de revogação assinada pela Microsoft em um dispositivo, o dispositivo não poderá ser revertido (desinstalando atualizações do Windows, usando um ponto de restauração ou por outros meios) se você continuar aplicando a Inicialização Segura. Mesmo reformatando o disco não removerá o bloqueio UEFI da mitigação se ele já tiver sido aplicado. Isso significa que, se você tentar reverter o sistema operacional Windows para um estado anterior que não tem a mitigação aplicada, o dispositivo não será iniciado, nenhuma mensagem de erro será exibida e a UEFI prosseguirá para a próxima opção de inicialização disponível. Isso pode resultar em um loop de inicialização. Você deve desabilitar a Inicialização Segura para remover o bloqueio UEFI. Esteja ciente de todas as possíveis implicações e teste minuciosamente antes de aplicar as revogações descritas neste artigo ao seu dispositivo.

• Mídia de Inicialização Externa. Depois que as mitigações de bloqueio UEFI tiverem sido aplicadas a um dispositivo, a mídia de inicialização externa deverá ser atualizada com as atualizações do Windows datadas em ou após 13 de agosto de 2024 e com a política de revogação assinada pela Microsoft (SkuSiPolicy.p7b). Se a mídia de inicialização externa não for atualizada, o dispositivo poderá não ser inicializado a partir dessa mídia. Consulte as instruções na seção Atualizar mídia de inicialização externa antes de aplicar as mitigações.
  
  A mídia de inicialização atualizada com a política de revogação assinada pela Microsoft só deve ser usada para inicializar dispositivos que tenham a mitigação já aplicada.  Se ela for usada com dispositivos sem a mitigação, o bloqueio UEFI será aplicado durante a inicialização a partir da mídia de inicialização. Os inícios subsequentes do disco falharão, a menos que o dispositivo seja atualizado com a mitigação ou o bloqueio UEFI seja removido.

• Ambiente de Recuperação do Windows. O WinRE (Ambiente de Recuperação do Windows) no dispositivo deve ser atualizado com as atualizações do Windows datadas de 13 de agosto de 2024 antes que o SkuSipolicy.p7b seja aplicado ao dispositivo. A omissão desta etapa pode impedir que o WinRE execute o recurso Restaurar PC.  Para obter mais informações, consulte Adicionar um pacote de atualização ao Ambiente de Recuperação do Windows.

• Inicialização do PXE (ambiente de execução de pré-inicialização). Se a mitigação for implantada em um dispositivo e você tentar usar a inicialização do PXE, o dispositivo não será iniciado a menos que as mitigações também sejam aplicadas às fontes de inicialização de rede (raiz em que bootmgfw.efi está presente). Se um dispositivo iniciar a partir de uma fonte de inicialização de rede que tenha a mitigação aplicada, o bloqueio UEFI será aplicado ao dispositivo e afetará as inicializações subsequentes. Não recomendamos implantar mitigações em fontes de inicialização de rede, a menos que todos os dispositivos em seu ambiente tenham as mitigações implantadas.  

Diretrizes de implantação de mitigação

Para resolver os problemas descritos neste artigo, você pode implantar uma política de revogação assinada pela Microsoft (SkuSiPolicy.p7b). Essa mitigação só tem suporte no Windows 10, versão 1809 e versões posteriores do Windows, no Windows Server 2019 e versões posteriores do Windows Server. Antes de implantar a política de revogação assinada pela Microsoft (SkuSiPolicy.p7b), você deve testar problemas de compatibilidade usando uma política de modo de auditoria.

Observação Se você usar o BitLocker, verifique se a chave de recuperação do BitLocker foi backup. Você pode executar o seguinte comando de um prompt de comando administrador e anotar a senha numérica de 48 dígitos:

Logs de Eventos do Windows

O Windows registra eventos quando políticas de integridade de código, incluindo SkuSiPolicy.p7b, são carregadas e quando um arquivo é impedido de carregar devido à imposição da política. Você pode usar esses eventos para verificar se a mitigação foi aplicada.

Os logs de integridade de código estão disponíveis no Visualizador de Eventos do Windows em Logs de aplicativos e serviços > Microsoft > Windows > CodeIntegrity > Operacional > Logs de Aplicativos e Serviços> Logs de serviços > Microsoft > Windows > AppLocker > MSI e Script.

Para obter mais informações sobre eventos de integridade de código, veja o Guia operacional de Controle de Aplicativos do Windows Defender.

Procedimento de Remoção e Recuperação de Política

Se algo der errado depois de aplicar a mitigação, você poderá usar as seguintes etapas para remover a mitigação:

1. Suspenda o BitLocker se ele estiver habilitado. Execute o seguinte comando em uma janela do Prompt de Comando com privilégios elevados:

   Manager-bde -protectors -disable c: -rebootcount 3

2. Desative a Inicialização Segura no menu do UEFI BIOS.
   
   O procedimento para desativar a Inicialização Segura difere entre fabricantes e modelos de dispositivos. Para obter ajuda para localizar onde desativar a Inicialização Segura, consulte a documentação do fabricante do dispositivo. Mais detalhes podem ser encontrados em Desabilitar Inicialização Segura.

3. Remova a política SkuSiPolicy.p7b.

   1. Inicie o Windows normalmente e entre.
      
      A política SkuSiPolicy.p7b tem de ser removida do seguinte local:

      • <Partição do Sistema EFI>\Microsoft\Boot\SKUSiPolicy.p7b

   2. Execute o script a seguir em uma sessão Windows PowerShell para limpar a política desses locais:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = "C:\EFIMount"

      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"

      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      $EFIPartition = (Get-Partition | Where-Object IsSystem).AccessPaths[0]
      if (-Not (Test-Path $MountPoint)) { New-Item -Path $MountPoint -Type Directory -Force }
      mountvol $MountPoint $EFIPartition
      if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }

      if (Test-Path   $EFIPolicyPath ) {Remove-Item -Path $EFIPolicyPath -Force }

      mountvol $MountPoint /D

4. Ative a Inicialização Segura a partir do BIOS.
   
   Consulte a documentação do fabricante do dispositivo para saber onde ativar a Inicialização Segura.
   
   Se você desativou a Inicialização Segura na Etapa 1 e sua unidade está protegida pelo BitLocker, suspenda a proteção do BitLocker e ative a Inicialização Segura no menu BIOS UEFI.

5. Ative o BitLocker. Execute o seguinte comando em uma janela do Prompt de Comando com privilégios elevados:

   Manager-bde -protectores -enable c:

6. Reinicie o dispositivo.