Cum se gestionează revocările Managerului de boot Windows pentru modificările de bootare securizată asociate cu CVE-2023-24932

În acest articol

• Rezumat

  • Luați măsuri

  • Amploarea impactului

  • Înțelegerea riscurilor

  • Probleme cunoscute

• Instrucțiuni pentru această lansare

• Instrucțiuni de implementare în atenuare

• Actualizarea suportului fizic de instalare Windows

• Momentul actualizărilor

• Erori din jurnalul de evenimente Windows legate de CVE-2023-24932

• Întrebări frecvente (Întrebări frecvente)

• Depanarea problemelor de bootare

• Procedura de recuperare

• Referințe

• Jurnal de modificări

Rezumat

Acest articol descrie protecția împotriva ocolirii caracteristicii de securitate Secure Boot dezvăluită public care utilizează bootkitul BlackLotus UEFI urmărit de CVE-2023-24932, cum să activați atenuările și instrucțiuni pentru suportul bootabil. Un bootkit este un program rău intenționat proiectat să se încarce cât mai devreme posibil în secvența de boot a unui dispozitiv pentru a controla pornirea sistemului de operare.

Bootarea sigură este recomandată de Microsoft pentru a crea o cale sigură și de încredere din Unified Extensible Firmware Interface (UEFI) prin secvența de bootare de încredere a kernelului Windows. Bootarea sigură vă ajută să împiedicați malware-ul bootkit în secvența de pornire. Dezactivarea bootării sigure expune un dispozitiv la riscul de a fi infectat cu malware bootkit. Remedierea ocolirii pornirii sigure descrise în CVE-2023-24932 necesită revocarea managerilor de bootare. Acest lucru ar putea cauza probleme pentru unele configurații de bootare a dispozitivului.

Atenuările pentru ocolirea pornirii sigure detaliate în CVE-2023-24932 sunt incluse în actualizările de securitate Windows care au fost lansate pe 9 iulie 2024 și în actualizările ulterioare. Totuși, aceste atenuări nu sunt activate în mod implicit. Cu aceste actualizări, vă recomandăm să începeți evaluarea acestor modificări din mediul dvs. Programul complet este descris în secțiunea Calendarul actualizărilor .

Înainte de a activa aceste atenuări, trebuie să revizuiți cu atenție detaliile din acest articol și să determinați dacă trebuie să activați atenuările sau să așteptați o actualizare viitoare de la Microsoft. Dacă alegeți să activați atenuările, trebuie să verificați dacă dispozitivele dvs. sunt actualizate și pregătite și să înțelegeți riscurile descrise în acest articol. 

înapoi sus 

Instrucțiuni pentru această lansare

Pentru această versiune, urmați acești pași.

Pasul 1: Instalați actualizarea

de securitate Windows Instalați actualizarea de securitate lunară Windows lansată pe 8 iulie 2025 sau o actualizare mai recentă pe dispozitivele Windows acceptate. Aceste actualizări includ atenuări pentru CVE-2023-24932, dar nu sunt activate în mod implicit. Toate dispozitivele Windows ar trebui să finalizeze acest pas, indiferent dacă intenționați sau nu să implementați atenuările.

Pasul 2: Evaluarea modificărilor

Vă recomandăm să procedați astfel:

• Înțelegeți primele două atenuări care permit actualizarea bazei de date Secure Boot și actualizarea managerului de boot.

• Revizuiți planificarea actualizată.

• Începeți testarea primelor două atenuări pe dispozitive reprezentative din mediul dvs.

• Începeți să planificați implementarea.

Pasul 3: Impunerea modificărilor

Vă încurajăm să înțelegeți riscurile prezentate în secțiunea Înțelegerea riscurilor.

• Înțelegeți impactul asupra recuperării și a altor suporturi bootabile.

• Începeți testarea celei de-a treia atenuări care anulează încrederea certificatului de semnare utilizat pentru toți managerii de boot Windows anteriori.

înapoi sus  

Instrucțiuni de implementare în atenuare

Înainte de a urma acești pași pentru aplicarea atenuărilor, instalați actualizarea de service lunară Windows lansată pe 8 iulie 2025 sau o actualizare ulterioară pe dispozitivele Windows acceptate. Această actualizare include atenuări pentru CVE-2023-24932, dar acestea nu sunt activate în mod implicit. Toate dispozitivele Windows ar trebui să finalizeze acest pas, indiferent de planul dvs. de a activa atenuările.

Pentru a implementa actualizarea și a aplica revocările, urmați acești pași:

1. Instalați certificatele Secure Boot 2023 în baza de date.

   Acest pas va adăuga certificatele Secure Boot 2023 la variabila UEFI "Secure Boot Signature Database" (DB) și la variabila cheie Key Exchange. În plus, va actualiza managerul de boot la managerul de boot semnat în 2023.

   Notă: Este posibil ca acest pas să fi terminat deja dacă dispozitivul a fost marcat cu "Încredere ridicată" în actualizările cumulative lunare. Pentru mai multe detalii, consultați O privire mai atentă asupra bazei de date cu nivel înalt de încredere și https://aka.ms/GetSecureBoot. 

   1. Setați cheia registry pentru a efectua actualizarea la baza de date. Pentru a face acest lucru, deschideți o fereastră linie de comandă PowerShell ca administrator, tastați fiecare dintre următoarele comenzi separat, apoi apăsați pe Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

      Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

   2. Rulați următoarea comandă PowerShell ca Administrator și verificați dacă baza de date a fost actualizată cu succes. Această comandă ar trebui să returneze True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

      Notă Poate fi necesară o repornire dacă caracteristica Mod securizat virtual este activată pe dispozitiv. Printre acestea se numără caracteristici precum Credential Guard, Device Guard și Windows Hello.

2. Verificați dacă certificatele Secure Boot 2023 și Managerul de boot au fost actualizate pe dispozitivul dvs.

   Acest pas va verifica dacă au fost aplicate certificatele și dacă managerul de boot a fost actualizat la versiunea semnată "Windows UEFI CA 2023".

   Rulați următoarea comandă PowerShell ca Administrator și verificați dacă actualizările au fost aplicate cu succes. Această comandă ar trebui să returneze Actualizat.

   (Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing").UEFICA2023Status

3. Activați revocarea.

   Lista interzisă UEFI (DBX) este utilizată pentru a bloca încărcarea modulelor UEFI care nu sunt de încredere. La acest pas, actualizarea DBX va adăuga certificatul "Windows Production CA 2011" la DBX. Acest lucru va face ca toți managerii de boot semnați de acest certificat să nu mai fie de încredere.

   AVERTISMENT: Înainte de a aplica a treia atenuare, creați o unitate flash de recuperare care poate fi utilizată pentru a boota sistemul. Pentru informații despre cum să faceți acest lucru, consultați secțiunea Actualizarea suportului de instalare Windows.

   Dacă sistemul intră într-o stare non-bootabilă, urmați pașii din secțiunea Procedura de recuperare pentru a reseta dispozitivul la o stare de pre-revocare.

   1. Adăugați certificatul "Windows Production PCA 2011" în Lista de interzise UEFI (DBX) Pornire sigură. Pentru aceasta, deschideți o fereastră linie de comandă ca administrator, tastați fiecare dintre următoarele comenzi separat, apoi apăsați pe Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

      Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

   2. Verificați dacă instalarea și lista de revocare a fost aplicată cu succes, căutând evenimentul 1037 în jurnalul de evenimente.
      
      Pentru informații despre evenimentul 1037, consultați KB5016061: Evenimente de actualizare variabilă DB și DBX Secure Boot. Sau rulați următoarea comandă PowerShell ca Administrator și asigurați-vă că returnează True:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011' 

4. Aplicați actualizarea SVN la firmware.
   
   Managerul de boot implementat la pasul 2 are încorporată o nouă caracteristică de auto-revocare. Când Managerul de boot începe să ruleze, efectuează o verificare automată prin compararea numărului de versiune securizată (SVN) stocat în firmware cu SVN-ul încorporat în Managerul de boot. Dacă SVN-ul Managerului de boot este mai mic decât SVN-ul stocat în firmware, Managerul de boot va refuza să ruleze. Această caracteristică împiedică un atacator să readucă Managerul de boot la o versiune mai veche, neactualizată.
   
   În actualizările viitoare, atunci când este rezolvată o problemă de securitate semnificativă în Managerul de boot, numărul SVN va fi incrementat atât în Managerul de boot, cât și în actualizarea firmware-ului. Ambele actualizări vor fi lansate în aceeași actualizare cumulativă, pentru a ne asigura că dispozitivele corecționate sunt protejate. De fiecare dată când SVN este actualizat, orice suport încărcabil va trebui actualizat.
   
   Începând cu actualizările din 9 iulie 2024, SVN-ul este incrementat în Managerul de boot și actualizarea firmware-ului. Actualizarea de firmware este opțională și se poate aplica urmând acest pas:

   1. Aplicați actualizarea SVN la firmware. Pentru aceasta, deschideți o fereastră linie de comandă ca administrator, tastați fiecare dintre următoarele comenzi separat, apoi apăsați pe Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

      Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

înapoi sus  

Actualizarea suportului fizic de instalare Windows

Puteți utiliza aplicația Creare unitate de recuperare urmând acești pași. Acest suport fizic poate fi utilizat pentru a reinstala un dispozitiv în cazul în care există o problemă majoră, cum ar fi o defecțiune hardware, veți putea utiliza unitatea de recuperare pentru a reinstala Windows.

1. Accesați un dispozitiv pe care s-au aplicat actualizarea din 8 iulie 2025 sau o versiune mai recentă și primul pas de atenuare (actualizarea bazei de date Secure Boot).

2. Din meniul Start , căutați appletul de panou de control "Creați o unitate de recuperare" și urmați instrucțiunile pentru a crea o unitate de recuperare.

3. Cu unitatea flash nou creată montată (de exemplu, ca unitate "D:"), rulați următoarele comenzi ca administrator. Tastați fiecare dintre următoarele comenzi, apoi apăsați pe Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Dacă gestionați suportul fizic instalabil din mediul dvs. utilizând actualizarea suportului de instalare Windows cu instrucțiunile de actualizare dinamică , urmați acești pași. Acești pași suplimentari vor crea o unitate flash bootabilă care utilizează fișiere de boot semnate de certificatul de semnare "Windows UEFI CA 2023".

1. Accesați un dispozitiv pe care s-a aplicat actualizarea din 8 iulie 2025 sau o versiune mai recentă și primul pas de atenuare (actualizarea bazei de date de pornire sigură).

2. Urmați pașii din linkul de mai jos pentru a crea suport fizic cu actualizarea din 8 iulie 2025 sau o actualizare ulterioară a fost aplicată: Actualizați suportul de instalare Windows cu actualizarea dinamică

3. Plasați conținutul suportului pe o unitate USB și montați unitatea USB ca literă de unitate. De exemplu, montați unitatea USB ca "D:".

4. Rulați următoarele comenzi dintr-o fereastră de comandă ca administrator. Tastați fiecare dintre următoarele comenzi, apoi apăsați pe Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Dacă un dispozitiv are setările Secure Boot resetate la valorile implicite după aplicarea atenuărilor, dispozitivul nu va porni. Pentru a rezolva această problemă, o aplicație de reparare este inclusă în actualizările din 9 iulie 2024, care poate fi utilizată pentru a aplica din nou certificatul "Windows UEFI CA 2023" la baza de date (atenuare #1).

1. Accesați un dispozitiv pe care s-a aplicat actualizarea din 8 iulie 2025 sau o actualizare mai recentă.

2. Într-o fereastră de comandă, copiați aplicația de recuperare pe unitatea flash utilizând următoarele comenzi (presupunând că unitatea flash este unitatea "D:"). Tastați fiecare comandă separat, apoi apăsați pe Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi D:\efi\boot\bootx64.efi

3. Pe dispozitivul care are setările Bootare sigură resetate la valorile implicite, introduceți unitatea flash, reporniți dispozitivul și porniți din unitatea flash.

înapoi sus  

Momentul actualizărilor

Actualizările sunt lansate după cum urmează:

• Implementare inițială Această etapă a început cu actualizările lansate pe 9 mai 2023 și a oferit atenuări de bază cu pași manuali pentru a activa atenuările respective.

• A doua implementare Această etapă a început cu actualizările lansate pe 11 iulie 2023, care au adăugat pași simplificați pentru a activa atenuările pentru problemă.

• Faza de evaluare Această etapă a început pe 9 aprilie 2024 și a adăugat atenuări suplimentare ale managerului de boot.

• Faza de implementare Această etapă a început în iulie 2024. Clienții ar trebui să înceapă acum să aplice atenuări și să actualizeze suporturile.

• Faza de punere în aplicare Faza de impunere care va face atenuările permanente. Data pentru această etapă va fi anunțată ulterior.

Notă Programul de lansare poate fi revizuit după cum este necesar.

Erori din jurnalul de evenimente Windows legate de CVE-2023-24932

Intrările din jurnalul de evenimente Windows legate de actualizarea bazei de date și a DBX sunt descrise detaliat în KB5016061: Evenimente de actualizare variabilă DB și DBX Secure Boot.

Evenimentele de "succes" legate de aplicarea atenuărilor sunt listate în tabelul următor.

înapoi sus  

Întrebări frecvente (Întrebări frecvente)

• Am aplicat revocările la dispozitivul meu și trebuie să reinstalez sau să recuperez dispozitivul. De ce nu îmi pot porni dispozitivul folosind suportul de recuperare (CD/DVD, PXE Boot, unitate USB)?

  • Consultați secțiunea Procedura de recuperare pentru a recupera dispozitivul.

  • Urmați instrucțiunile din secțiunea Depanarea problemelor de bootare .

• Dispozitivul meu utilizează mai multe sisteme de operare. Cum îmi actualizez sistemul?

  Actualizați toate sistemele de operare Windows cu actualizări lansate la sau după 9 iulie 2024 înainte de a aplica revocările. Este posibil să nu puteți porni nicio versiune de Windows care nu a fost actualizată cel puțin la actualizările lansate pe 9 iulie 2024 după ce aplicați revocările. Urmați instrucțiunile din secțiunea Depanarea problemelor de bootare .

• Ce tipuri de mesaje de eroare de boot pot fi legate de întărirea securității descrise în acest articol?

  Consultați secțiunea Depanarea problemelor de bootare .

înapoi sus 

Depanarea problemelor de bootare

După ce au fost aplicate toate cele trei atenuări, firmware-ul dispozitivului nu va boota utilizând un manager de pornire semnat de Windows Production PCA 2011. Erorile de boot raportate de firmware sunt specifice dispozitivului. Consultați secțiunea Procedura de recuperare .

înapoi sus  

Procedura de recuperare

Dacă ceva nu merge bine în timpul aplicării atenuărilor și nu puteți porni dispozitivul sau trebuie să porniți de pe un suport extern (cum ar fi o unitate USB sau o bootare PXE), încercați următoarele sugestii:

1. Dezactivați bootarea sigură.
   
   Această procedură diferă în funcție de producătorii de dispozitive și de modele. Introduceți meniul UEFI BIOS al dispozitivului și navigați la setările Secure Boot și dezactivați-l. Consultați documentația de la producătorul dispozitivului pentru detalii despre acest proces. Mai multe detalii pot fi găsite în Dezactivarea bootării securizate.

2. Resetați cheile Secure Boot la setările din fabrică.

   Dacă dispozitivul acceptă resetarea cheilor Secure Boot la setările din fabrică, efectuați această acțiune acum.

   NOTĂ Unii producători de dispozitive au atât o opțiune "Ștergere", cât și o opțiune "Resetare" pentru variabilele de pornire sigură, caz în care ar trebui utilizat "Resetare". Scopul este de a aduce variabilele Secure Boot înapoi la valorile implicite ale producătorului.

   Dispozitivul dvs. ar trebui să pornească acum, dar rețineți că este vulnerabil în fața malware-ului kit de bootare. Asigurați-vă că finalizați Pasul 5 din acest proces de recuperare pentru a reactiva bootarea sigură.

3. Încercați să porniți Windows de pe discul de sistem.

   1. Conectați-vă la Windows.

   2. Rulați următoarele comenzi dintr-o linie de comandă de administrator pentru a restaura fișierele de boot în partiția de boot a sistemului EFI. Tastați fiecare comandă separat, apoi apăsați pe Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Rularea BCDBoot returnează "Fișiere de boot create cu succes". După ce se afișează acest mesaj, reporniți dispozitivul înapoi la Windows.

4. Dacă pasul 3 nu recuperează cu succes dispozitivul, reinstalați Windows.

   1. Porniți dispozitivul de pe suportul de recuperare existent.

   2. Continuați cu instalarea Windows utilizând suportul de recuperare.

   3. Conectați-vă la Windows.

   4. Reporniți Windows pentru a verifica dacă dispozitivul repornește la Windows.

5. Reactivați bootarea sigură și reporniți dispozitivul.
   
   Intrați în meniul UEFI al dispozitivului, navigați la setările Secure Boot și activați-l. Consultați documentația de la producătorul dispozitivului pentru detalii despre acest proces. Mai multe informații pot fi găsite în secțiunea "Reactivați bootarea securizată".

înapoi sus

Referințe

• Instrucțiuni pentru investigarea atacurilor utilizând CVE-2022-21894: Campania BlackLotus

• Bootare sigură

• Activați bootarea sigură pe dispozitivele Windows înscrise

• Pentru evenimentele care sunt generate atunci când se aplică actualizările DBX, consultați KB5016061: Abordarea managerilor de boot vulnerabili și revocați.

înapoi sus

Jurnal de modificări

înapoi sus