KB4535680: обновление системы безопасности для безопасной загрузки DBX: 12 января 2021 г.

Применяется к

Windows Server 2012 Windows Server 2012 R2 Windows 8.1 Windows Server 2016, all editions Windows Server 2019 Windows 10

Примечание

ВАЖНО Эта статья заменена KB5012170: Обновление системы безопасности для безопасной загрузки DBX.

Относится к

Это обновление для системы безопасности применяется только к следующим версиям Windows:

64-разрядная версия Windows Server 2012 x64
64-разрядная версия Windows Server 2012 R2
64-разрядная версия Windows 8.1
64-разрядная версия Windows Server 2016 x64-разрядная
64-разрядная версия Windows Server 2019
64-разрядная версия Windows 10 версии 1607
64-разрядная версия Windows 10 версии 1803
64-разрядная версия Windows 10 версии 1809 x64-разрядная
64-разрядная версия Windows 10 версии 1909

Сводка

Это обновление для системы безопасности вносит улучшения в DBX безопасной загрузки для поддерживаемых версий Windows, перечисленных в разделе "Относится к". Ключевые изменения включают следующее:

Устройства Windows с UEFI могут работать с включенной безопасной загрузкой. База данных безопасных сигнатур при загрузке (DBX) предотвращает загрузку модулей UEFI. Это обновление добавляет модули в DBX.

Уязвимость обхода функций безопасности существует при безопасной загрузке. Злоумышленник, успешно использующий уязвимость, может обойти безопасную загрузку и загрузить ненадежное программное обеспечение.

Данное обновление для системы безопасности устраняет уязвимость путем добавления сигнатур известных уязвимых модулей UEFI в DBX.

Подробнее об этой уязвимости см. в статье CVE-2020-0689 | Уязвимость обхода функции безопасной загрузки Майкрософт.

Известные проблемы

Ошибка	Возможное решение
Встроенное ПО некоторых изготовителей оборудования (OEM) может не предусматривать установку этого обновления.	Чтобы устранить эту проблему, обратитесь к производителю встроенного ПО.
Если включена функция "Групповая политика BitLocker "Настройка профиля проверки платформы TPM для собственных конфигураций встроенного ПО UEFI" и политика выбирает PCR7, может потребоваться ключ восстановления BitLocker на некоторых устройствах, где привязка PCR7 невозможна. Чтобы просмотреть состояние привязки PCR7, запустите средство "Системные сведения" корпорации Майкрософт (Msinfo32.exe) с правами администратора.	В качестве временного решения для этой проблемы выполните одно из действий ниже в зависимости от конфигурации Credential Guard перед развертыванием этого обновления. На устройстве, на котором не включена служба Credential Gard, выполните следующую команду из командной строки администратора, чтобы приостановить BitLocker на 1 цикл перезагрузки: Manage-bde –Protectors –Disable C: -RebootCount 1 Затем перезапустите устройство, чтобы возобновить защиту BitLocker. Примечание Не включайте защиту BitLocker без дополнительного перезапуска устройства, так как это приведет к восстановлению BitLocker. На устройстве с включенным Credential Guard во время обновления может произойти несколько перезапусков, из-за которых потребуется приостановить работу BitLocker. Выполните следующую команду из командной строки администратора, чтобы приостановить работу BitLocker на 3 цикла перезагрузки. Manage-bde –Protectors –Disable C: -RebootCount 3 Ожидается, что это обновление перезагрузит систему два раза. Перезагрузите устройство еще раз, чтобы возобновить защиту BitLocker. Примечание Не включайте защиту BitLocker без дополнительного перезапуска, так как это приведет к восстановлению BitLocker.
Вы можете войти в режим восстановления Bitlocker, если конфликтующие параметры групповой политики BitLocker настроены после включения BitLocker в среде. Восстановление BitLocker можно запустить с помощью любого из указанных ниже параметров групповой политики: Принудительная явная настройка привязок PCR , отличная от той, что уже выбрана BitLocker. Настройка групповой политики "Разрешить безопасную загрузку для проверки целостности" для запрета безопасной загрузки для проверки целостности, но BitLocker уже использует безопасную загрузку (PCR7). Настройка групповой политики так, чтобы требовать дополнительную проверку подлинности во время запуска, но BitLocker был настроен перед развертыванием этой групповой политики.	Если это обновление уже было применено и устройство не перезагрузилось, приостановите работу BitLocker, а затем перезапустите его, выполнив следующие действия: Если с помощью групповой политики задан явный параметр PCR или политика настроена таким образом, чтобы запретить использование безопасной загрузки для проверки целостности, приостановите и возобновите работу BitLocker, чтобы устранить конфликты групповой политики. Если политика "Требовать дополнительную проверку подлинности при запуске " настроена на требование использования TPM и PIN-кода, выполните следующую команду из командной строки администратора и введите нужный ПИН-код: manage-bde -protectors -add c: -TPMAndPin Если политика "Требовать дополнительную проверку подлинности при запуске " настроена на использование ключа запуска, выполните следующую команду, чтобы создать ключ запуска: manage-bde -protectors -add c: -tpmandstartupkey <путь к каталогу внешнего ключа> Если политика "Требовать дополнительную проверку подлинности при запуске" настроена на использование ключа запуска и ПИН-кода, выполните следующую команду из командной строки администратора, чтобы создать ПИН-код и ключ запуска. При появлении запроса введите нужный ПИН-код: manage-bde -protectors -add c: -tpmandpinandstartupkey <путь к внешнему каталогу> ключей
Это обновление может не устанавливаться на устройствах с неподписанным файлом диспетчера загрузки bootx64.efi без подписи. Это обновление может быть предложено и повторно предложено через клиентский компонент Центра обновления Windows, но может не быть установлено. При попытке установить это обновление вручную может появиться сообщение об ошибке "Некоторые обновления не установлены" KB4565680. Вы также можете провести проверку файла журнала CBS в %systemroot%\logs\cbs на наличие следующей ошибки: OneCore\Base\SecureBoot\Servicing\AdvancedInstaller\securebootai.cpp(277): Ошибка TRUST_E_NOSIGNATURE возникновение в функции Windows :: WCP :: SecureBoot :: BasicInstaller :: Установить выражение: ApplySecureBootUpdate( dwAvailableUpdates)	Мы работаем над решением и предполагаем, что решение будет доступно для Windows 10 версии 1909, Windows 10 версии 2004 и Windows 10 версии 20H2 в конце марта. По оценкам, решение для остальных поддерживаемых версий Windows будет доступно в середине апреля. Для получения дополнительных рекомендаций до выпуска решения обратитесь к изготовителю вашего устройства (OEM).

Порядок получения обновления

Способ 1. Центр обновления Windows

Это обновление доступно в Центре обновления Windows. Оно будет загружено и установлено автоматически.

Способ 2. Каталог Центра обновления Майкрософт

Чтобы получить отдельный пакет для данного обновления, перейдите на веб-сайт каталога Центра обновления Майкрософт.

Способ 3. Windows Server Update Services

Это обновление также доступно в Windows Server Update Services (WSUS).

Необходимые условия

Убедитесь, что у вас установлено последнее обновление стека обслуживания (SSU). Сведения о последней версии SSU для вашей операционной системы см. в разделе ADV990001 | Последние обновления стека обслуживания.

Сведения о перезапуске

При применении этого обновления устройство не нужно перезапускать. Если у вас включен Credential Guard в Защитнике Windows (виртуальный безопасный режим), устройство перезапустится два раза.

Сведения о замене обновления

Это обновление не заменяет ранее выпущенные обновления.