KB5025885: Kako upravljati preklice upravitelja zagona sistema Windows za spremembe varnega zagona, povezane s CVE-2023-24932

V tem članku

• Povzetek

  • Ukrepajte

  • Obseg učinka

  • Razumevanje tveganj

  • Znane težave

• Navodila za to izdajo

• Smernice za uvajanje ublažitve posledic

• Zagonski medij

• Posodabljanje namestitvenega medija v sistemu Windows

• Časovna usklajenost posodobitev

• Napake dnevnika dogodkov sistema Windows, povezane s CVE-2023-24932

• Pogosta vprašanja

• Odpravljanje težav z zagonom

• Postopek obnovitve

• Sklici

• Dnevnik sprememb

Povzetek

V tem članku je opisana zaščita pred javno razkritim obhodom varnostne funkcije varnega zagona, ki uporablja bootkit BlackLotus UEFI, ki jim sledi CVE-2023-24932, kako omogočiti ublažitev posledic in navodila za zagonski medij. Zagonski komplet je zlonameren program, ki je zasnovan tako, da se čim prej naloži v zaporedju zagona naprav za nadzor zagona operacijskega sistema.

Microsoft priporoča varni zagon, da ustvari varno in zaupanja vredno pot iz poenotenega programskega vmesnika EFI prek zaporedja zaupanja vrednih zagonov jedra sistema Windows. Varni zagon pomaga preprečiti zlonamerno programsko opremo za zagon v zaporedju zagona. Če onemogočite varni zagon, lahko napravo okuži zlonamerna programska oprema za bootkit. Če želite popraviti obhod varnega zagona, ki je opisan v CVE-2023-24932, morate opisati upravitelje zagona. To lahko povzroči težave pri nekaterih konfiguracijah zagona naprave.

Ublažitev posledic obhoda varnega zagona, podrobno opisana v CVE-2023-24932 , je vključena v varnostne posodobitve sistema Windows, ki so bile izdane 9. aprila 2024 ali po tem. Vendar pa te ublažitve posledic privzeto niso omogočene. S temi posodobitvami priporočamo, da začnete ocenjujeti te spremembe v svojem okolju. Celoten urnik je opisan v razdelku Časovna usklajenost posodobitev.

Preden omogočite te ublažitve posledic, morate temeljito pregledati podrobnosti v tem članku in ugotoviti, ali morate omogočiti ublažitev posledic ali počakati na microsoftovo prihodnjo posodobitev. Če omogočite ublažitev posledic, morate preveriti, ali so vaše naprave posodobljene in pripravljene, ter razumeti tveganja, opisana v tem članku. 

Navodila za to izdajo

Za to izdajo upoštevajte ta dva koraka.

1. korak: Namestite varnostno posodobitev sistema Windows

Namestite mesečno varnostno posodobitev sistema Windows, izdano 9. aprila 2024 ali po tem, v podprtih napravah s sistemom Windows. Te posodobitve vključujejo ublažitev posledic za CVE-2023-24932, vendar privzeto niso omogočene. Ta korak morajo dokončati vse naprave s sistemom Windows, ne glede na to, ali nameravate uvesti ublažitve posledic.

2. korak: Ocenite spremembe

Priporočamo, da naredite to:

• Seznanite se s prvima dvema ublažitvijo posledic, ki omogočata posodobitev zbirke podatkov za varni zagon in posodabljanje upravitelja zagona.

• Preglejte posodobljen urnik.

• Začnite preskušati prvi dve ublažitvi posledic za reprezentativne naprave iz vašega okolja.

• Začnite načrtovati fazo uvajanja 9. julija 2024.

3. korak: Uveljavite spremembe

Priporočamo, da razumete tveganja, označena v razdelku Razumevanje tveganja.

• Seznanite se z vplivom na obnovitev in drugim zagonskimi mediji.

• Začnite preskušati tretjo ublažitev, ki ne zaupa podpisovanju potrdila, uporabljenega za vse prejšnje upravitelje zagona sistema Windows.

Smernice za uvajanje ublažitve posledic

Preden sledite tem korakom za uporabo ublažitev posledic, namestite mesečno posodobitev servisiranja sistema Windows, izdano 9. aprila 2024, ali po tem, v podprtih napravah s sistemom Windows. Ta posodobitev vključuje ublažitev posledic za CVE-2023-24932, vendar privzeto niso omogočena. Ta korak morajo za ublažitev posledic dokončati vse naprave s sistemom Windows, ne glede na vaš načrt.

Če želite uvesti posodobitev in uveljaviti preklice, upoštevajte ta navodila:

1. Namestite posodobljene definicije potrdil v DB.

   V tem koraku boste potrdilo »Windows UEFI CA 2023« dodali v »zbirko podatkov za podpis varnega zagona« vmesnika UEFI (DB). Če to potrdilo dodate v DB, vdelana programska oprema naprave zaupa zagonskih aplikacijam, ki jih je podpisalo to potrdilo.

   1. Odprite ukazni poziv skrbnika in nastavite registrski ključ tako, da izvede posodobitev na DB tako, da vnesete ta ukaz:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      POMEMBNO Preden nadaljujete z 2. in 3. korakom, dvakrat znova zaženite napravo, da dokončate namestitev posodobitve.

   2. Zaženite ta ukaz PowerShell kot skrbnik in preverite, ali je bila DB uspešno posodobljena. Ta ukaz mora vrniti vrednost True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Posodobite upravitelja zagona v svoji napravi.

   V tem koraku boste v napravo namestili aplikacijo upravitelja zagona, ki je podpisana s potrdilom »Windows UEFI CA 2023«.

   1. Odprite ukazni poziv skrbnika in nastavite registrski ključ, da namestite upravitelja zagona s podpisom »Windows UEFI CA 2023«:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Dvakrat znova zaženite napravo.

   3. Kot skrbnik namestite particijo EFI, da jo pripravite za pregled:

      mountvol s: /s

   4. Preverite, ali je datoteka »s:\efi\microsoft\boot\bootmgfw.efi« podpisana s potrdilom »Windows UEFI CA 2023«. To naredite tako:

      1. Kliknite Start, vtipkajte ukaznipoziv Iskanje polje in nato kliknite Ukazni poziv.

      2. V okno ukaznega poziva vnesite ta ukaz in pritisnite Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. V upravitelju datotek z desno tipko miške kliknite datoteko C:\bootmgfw_2023.efi, kliknite Lastnosti in nato izberite zavihek Digitalni podpisi.

      4. Na seznamu Podpis potrdite, da veriga potrdil vključuje Windows UEFI CA 2023. Veriga potrdil se mora ujemati s tem posnetkom zaslona:
         
         

3. Omogoči preklic.

   Seznam prepovedanih naslovov UEFI (DBX) se uporablja za blokiranje, da se moduli UEFI, ki niso vreden zaupanja, ne nana ajo na nalaganje. V tem koraku boste s posodobitvijo DBX v DBX dodali potrdilo »Windows Production CA 2011«. Zaradi tega ne bodo več zaupanja vredni vsi upravitelji zagona, ki jih je podpisalo to potrdilo.

   OPOZORILO: Pred uporabo tretje ublažitve posledic ustvarite obnovitveni pomnilniški ključek, ki ga lahko uporabite za zagon sistema. Če želite več informacij o tem, kako to naredite, glejte razdelek Posodabljanje namestitvenega medija za Windows.

   Če se vaš sistem vrne v stanje, ki ga ni mogoče zagnati, sledite korakom v razdelku Postopek obnovitve, da ponastavite napravo na stanje pred preklicem naročnine.

   1. Dodajte potrdilo »Windows Production PCA 2011« na seznam prepovedanih naslovov UEFI za varni zagon (DBX). To naredite tako, da odprete okno ukaznega poziva kot skrbnik, vnesete ta ukaz in pritisnete Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Dvakrat znova zaženite napravo in preverite , ali se je v celoti znova zagnala.

   3. Preverite, ali sta bila namestitev in seznam ukinjenih naslovov uspešno uporabljena, tako da v dnevniku dogodkov poiščite dogodek 1037.
      
      Če želite informacije o dogodku 1037, glejte KB5016061: dogodki posodobitve spremenljivih posodobitev DB za varni zagon in DBX. Lahko pa kot skrbnik zaženete ta ukaz PowerShell in se prepričate, da vrne vrednost »True«:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Zagonski medij

Ko se faza uvajanja začne v vašem okolju, je pomembno posodobiti zagonski medij. Navodila in orodja za posodobitev predstavnosti bodo na voljo v času faze uvajanja. Faza uvajanja bo začela 9. julija 2024.

Primeri zagonskega medija in obnovitvenega medija, na katere je vplivala ta težava:

• Zagonski medij, ustvarjen z ustvarjanjem obnovitvenega pogona.

• Varnostne kopije sistema Windows, ki so bile ustvarjene pred uporabo ublažitev posledic. Po tem, ko so preklici v vaši napravi omogočeni, teh namestitev ne bo mogoče več neposredno obnoviti.

• CD/DVD ali particija za obnovitev po meri, ki ste jo ustvarili vi, izdelovalec naprave (OEM) ali velika poslovna okolja.

• ISO (prek prenosa ali uporabe adk).

• Zagon omrežja:

  • Storitve uvajanja sistema Windows.

  • Storitve zagona okolja Preboot Execution Environment (zagonske storitve PXE).

  • Microsoft Deployment Toolkit.

  • Zagon https.

• Namestitveni in obnovitveni medij proizvajalca strojne opreme.

• Uradni Microsoftovi mediji sistema Windows, vključno s temi:

  • Maloprodajni mediji.

  • Orodje za ustvarjanje medija (ISO ali pogon USB).

  • VLSC.

  • Prenosi za naročnika na Visual Studio.

  • pogon USB.

• Windows PE.

• Sistem Windows, nameščen v fizični strojni opremi ali navideznih računalnikih.

• Operacijski sistem za preverjanje veljavnosti sistema Windows.

Če z osebno napravo s sistemom Windows uporabljate zagonski medij, boste morda morali narediti nekaj od tega, preden uporabite preklice:

• Če za shranjevanje vsebine naprave uporabljate osebno programsko opremo za varnostno kopiranje, po uporabi ublažitve posledic 9. aprila 2024 zaženite popolno varnostno kopijo.

• Če uporabljate posnetek zagonskega diska (ISO), CD-ROM ali DVD medij, posodobite medij tako, da upoštevate navodila, ki jih morate navesti pozneje.

Enterprise

• Glejte obsežne smernice in skriptno izvajanje za namestitveni medij za Windows Update z dinamično posodobitvijo.

• Če v svojem okolju podpirate zagon ali obnovitev omrežja, boste morali posodobiti vse predstavnosti in slike. To lahko vključuje te možnosti zagona ali obnovitve:

  • Microsoft Deployment Toolkit.

  • Microsoft Endpoint Configuration Manager.

  • Storitve uvajanja sistema Windows.

  • Zagon PxE.

  • Zagon https in drugi scenariji zagona omrežja.

• To lahko naredite tako, da uporabite namestitev paketa brez povezave DISM na slikah, ki so na voljo v teh primerih. To vključuje posodobitev zagonskih datotek, ki jih ponujajo te storitve.

• Če uporabljate programsko opremo za varnostno kopiranje, da shranite vsebino namestitve sistema Windows v posnetek za obnovitev, se prepričajte, da ste po namestitvi ublažitve posledic z dne 9. aprila 2024 zagnali popolno varnostno kopijo. Prepričajte se, da poleg particije operacijskega sistema Windows varnostno kopirate tudi particijo diska EFI. Jasno opredelite varnostne kopije, ki so bile opravljene pred uporabo ublažitev posledic 9. aprila 2024 v primerjavi s tistimi, ki so bile opravljene po uporabi ublažitev posledic.

Proizvajalci strojne opreme v sistemu Windows

• Glejte obsežne smernice in skriptno izvajanje za namestitveni medij za Windows Update z dinamično posodobitvijo.

Posodabljanje namestitvenega medija v sistemu Windows

Aplikacijo Ustvarjanje obnovitvenega pogona lahko uporabite tako, da upoštevate te korake. S tem medijem lahko znova namestite napravo, če pride do večje težave, kot je napaka strojne opreme, boste lahko z obnovitvenim pogonom znova namestili sistem Windows.

1. Pojdite v napravo, v kateri so bile uporabljene posodobitve z dne 9. aprila 2024 in prvi korak za ublažitev posledic (posodobitev zbirke podatkov varnega zagona).

2. V začetnem meniju poiščite programček nadzorne plošče »Ustvari obnovitveni pogon« in sledite navodilom za ustvarjanje obnovitvenega pogona.

3. Ko je novo ustvarjeni pogon USB nameščen (na primer pogon »D:«), kot skrbnik zaženite te ukaze. Vnesite vsakega od teh ukazov in pritisnite tipko Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Če namestitveno predstavnost v svojem okolju upravljate z namestitvenim medijem za Windows Update z navodili za dinamično posodobitev, sledite tem korakom. Ti dodatni koraki bodo ustvarili zagonski pomnilniški ključek, ki uporablja zagonske datoteke, podpisane s potrdilom podpisa »Windows UEFI CA 2023«.

1. Pojdite v napravo, v kateri so bile uporabljene posodobitve z dne 9. aprila 2024 in prvi korak ublažitve (posodobitev zbirke podatkov za varni zagon).

2. Sledite korakom v spodnji povezavi, da ustvarite predstavnost s posodobitvami, ki so se posodobili 9. aprila 2024. Posodobitev namestitvenega medija sistema Windows z dinamično posodobitvijo

3. Položite vsebino nosilca podatkov na ključek USB in vstavite ključek USB kot črko pogona. Na primer, ključek palca pritrdite kot »D:«.

4. Kot skrbnik v ukaznem oknu zaženite te ukaze. Vnesite vsakega od teh ukazov in pritisnite tipko Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Če se v napravi nastavitve varnega zagona ponastavijo na privzete nastavitve po ublažitvi posledic, se naprava ne zažene. Če želite odpraviti to težavo, je aplikacija za popravilo vključena v posodobitve z dne 9. aprila 2024, s katerimi lahko znova uporabite potrdilo »Windows UEFI CA 2023« v zbirki podatkov (ublažitev #1).

1. Pojdite v napravo, v kateri so bile uporabljene posodobitve z dne 9. aprila 2024.

2. V ukaznem oknu kopirajte aplikacijo za obnovitev na pogon USB s temi ukazi (če je pogon »D:«). Vsak ukaz vnesite posebej in pritisnite tipko Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. V napravi, v kateri so nastavitve varnega zagona ponastavljene na privzete nastavitve, vstavite pomnilniški ključek, znova zaženite napravo in zaženite napravo s pogona.

Časovna usklajenost posodobitev

Posodobitve so izdane na naslednji način:

• Začetna uvedba Ta faza se je začela s posodobitvami, izdanimi 9. maja 2023, in je osnovne ublažitve posledic opravila opravila z ročnimi koraki, ki omogočajo ublažitev posledic.

• Drugo uvajanje Ta faza se je začela s posodobitvami, izdanimi 11. julija 2023, s katerimi so bili dodani poenostavljeni koraki za ublažitev te težave.

• Faza ocenjevanja Ta faza se bo začel 9. aprila 2024 in dodala dodatne ublažitve posledic upravitelja zagona.

• Faza končne uvedbe Zdaj bomo vse stranke spodbujali, da začnejo uvajati ublažitve posledic in posodabljati medije.

• Faza uveljavljanja Faza izvajanja, ki bo ublažitev posledic trajna. Datum te faze bo objavljen pozneje.

Opomba Urnik izdaje se lahko po potrebi spremeni.

Napake dnevnika dogodkov sistema Windows, povezane s CVE-2023-24932

Vnosi v dnevnik dogodkov sistema Windows, ki se nanašajo na posodobitev zbirke podatkov (DB in DBX), so podrobno opisani v članku KB5016061: Dogodki posodobitve spremenljivk DB in DBX za varni zagon.

Dogodki »uspeha«, povezani z uporabo ublažitev posledic, so navedeni v spodnji tabeli.

Pogosta vprašanja

Odpravljanje težav z zagonom

Ko so vse tri ublažitve posledic uporabljene, se vdelana programska oprema naprave ne zažene z upraviteljem zagona, ki ga je podpisal Windows Production PCA 2011. Napake pri zagonu, ki jih je prijavila vdelana programska oprema, so značilne za napravo. Glejte razdelek Postopek obnovitve .

Postopek obnovitve

Če pride do napake pri uporabi ublažitev posledic in ne morete zagnati naprave ali pa morate zagnati napravo z zunanjega medija (na primer s palčnim pogonom ali zagonom PXE), poskusite naslednje predloge:

1. Izklopite varni zagon.
   
   Ta postopek se razlikuje med proizvajalci naprav in modeli. Vnesite meni BIOS-a UEFI za naprave in se pomaknite do nastavitev varnega zagona ter ga izklopite. Podrobnosti o tem postopku poiščite v dokumentaciji proizvajalca naprave. Več podrobnosti najdete v članku Onemogočanje varnega zagona.

2. Ponastavite ključe za varni zagon na tovarniške privzete nastavitve.

   Če naprava podpira ponastavitev ključev za varni zagon na tovarniške privzete nastavitve, izvedite to dejanje zdaj.

   OPOMBA Nekateri izdelovalci naprav imajo možnost »Počisti« in »Ponastavi« za spremenljivke varnega zagona, v tem primeru pa je treba uporabiti možnost »Ponastavi«. Cilj je, da se spremenljivke varnega zagona nazaj v privzete vrednosti proizvajalca.

   Naprava bi se morala zagnati zdaj, vendar upoštevajte, da je ranljiva za zlonamerno programsko opremo kompleta za zagon. Če želite znova omogočiti varni zagon, dokončajte 5. korak tega postopka obnovitve.

3. Poskusite sistem Windows zagnati s sistemskega diska.

   1. Prijava v Sistem Windows.

   2. V ukaznem pozivu skrbnika zaženite te ukaze, da obnovite zagonske datoteke v particiji za zagon sistema EFI. Vsak ukaz vnesite posebej in pritisnite tipko Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Zagon BCDBoot vrne »Zagonske datoteke so bile uspešno ustvarjene«. Ko se prikaže to sporočilo, znova zaženite napravo nazaj v sistem Windows.

4. Če 3. korak ne obnovi uspešno naprave, znova namestite sistem Windows.

   1. Zaženite napravo z obstoječega obnovitvenega medija.

   2. Nadaljujte z namestitvijo sistema Windows z obnovitvenim medijem.

   3. Prijava v Sistem Windows.

   4. Znova zaženite sistem Windows, da preverite, ali se naprava znova zažene v sistemu Windows.

5. Znova omogočite varni zagon in znova zaženite napravo.
   
   Vnesite meni vmesnika UEFI naprave in se pomaknite do nastavitev varnega zagona ter ga vklopite. Podrobnosti o tem postopku poiščite v dokumentaciji proizvajalca naprave. Več informacij najdete v razdelku »Vnovično omogočanje varnega zagona«.

Sklici

• Navodila za preiskovanje napadov s CVE-2022-21894: Kampanja BlackLotus

• Varni zagon

• Omogočanje varnega zagona v včlanjenih napravah s sistemom Windows

• Za dogodke, ki se ustvarijo pri uporabi posodobitev DBX, glejte KB5016061: Naslavljanje ranljivih in ukinjenih upraviteljev zagona.