KB5042562: Navodila za blokiranje povrnitve varnostnih posodobitev, povezanih z virtualizacijo

V tem članku

• Povzetek

• Obseg učinka

• Ublažitve posledic, ki so na voljo

• Razumevanje tveganja ublažitve posledic

• Smernice za uvajanje ublažitve posledic

  • Uvajanje pravilnika načina nadzora

  • Uvajanje Microsoftovega pravilnika o preklicu (SKUSIPolicy.p7b)

  • Posodabljanje zunanjega zagonskega medija

• Dnevniki dogodkov sistema Windows

  • Dogodki aktiviranja pravilnika

  • Nadzor in blokiranje dogodkov

• Postopek odstranjevanja in obnovitve pravilnika

Povzetek

Microsoft je bil seznanjen z ranljivostjo v sistemu Windows, ki napadalcu s skrbniškimi pravicami omogoča zamenjavo posodobljenih sistemskih datotek sistema Windows, ki imajo starejše različice, in odpiranje vrat napadalcu za ponovno uvedbo ranljivosti v varnost, ki temelji na virtualizacije( VBS).  Povrnitev teh dvojiških podatkov lahko napadalcu omogoči, da zaobide varnostne funkcije VBS in iztrga podatke, ki so zaščiteni s VBS. Ta težava je opisana v CVE-2024-21302 | Ranljivost pravic v varnem jedrnem načinu sistema Windows.

Če želite odpraviti to težavo, bomo preklicali ranljive sistemske datoteke VBS, ki niso posodobljene. Zaradi velikega števila datotek, povezanih s VBS, ki jih je treba blokirati, lahko z nadomestnim pristopom blokiramo različice datotek, ki niso posodobljene.

Obseg učinka

Ta težava vpliva na vse naprave s sistemom Windows, ki podpirajo SČD. To vključuje fizične naprave na mestu uporabe in navidezne računalnike. Sistem VBS je podprt v sistemu Windows 10 in novejših različicah sistema Windows ter sistemu Windows Server 2016 in novejših različicah sistema Windows Server.

Stanje VBS lahko pregledate z Microsoftovim orodjem za informacije o sistemu (Msinfo32.exe). To orodje zbira podatke o vaši napravi. Po zagonu Msinfo32.exe se pomaknite navzdol do varnostne vrstice, ki temelji na virtualizacije . Če je vrednost te vrstice Zagnana, je VBS omogočena in se izvaja.

Stanje VBS lahko preverite tudi z modulom Windows PowerShell tako, da uporabite Win32_DeviceGuard WMI. Če želite zagnati poizvedbo po stanju VBS iz lupine PowerShell, odprite povišano sejo Windows PowerShell in nato zaženite ta ukaz:

Ko zaženete zgornji ukaz PowerShell, bi moralo biti stanje stanja VBS eno od teh.

Ublažitve posledic, ki so na voljo

Za vse podprte različice sistema Windows 10 različica 1809 in novejše različice sistema Windows ter Windows Server 2019 in novejše različice strežnika Windows Server lahko skrbniki uvedejo Microsoftov pravilnik o preklicu (SkuSiPolicy.p7b). S tem blokirate ranljive različice sistemskih datotek VBS, ki jih operacijski sistem ne more naložiti.

Ko se ta pravilnik uporabi za napravo s sistemom Windows, bo pravilnik zaklenjen tudi v napravo tako, da vdelani programski opremi vmesnika UEFI doda spremenljivko. Med zagonom se pravilnik naloži, Sistem Windows pa blokira nalaganje dvojiških podatkov, ki kršijo pravilnik. Če uporabite zaklepanje vmesnika UEFI in je pravilnik odstranjen ali zamenjan s starejšo različico, se upravitelj zagona sistema Windows ne zažene in naprava se ne zažene. Ta napaka pri zagonu ne prikaže napake in sistem bo nadaljeval z naslednjo razpoložljivo možnostjo zagona, kar lahko povzroči zanko zagona.

Da bo ublažitev pravilnika delovala, mora biti naprava posodobljena s posodobitvijo sistema Windows, izdano 13. avgusta 2024 ali po tem. Če manjkajo posodobitve, se naprava morda ne bo zagala z uporabljenim ublažitvijo ali pa ublažitev morda ne bo delovala po pričakovanjih. Poleg tega je treba ublažitve posledic , KB5025885 opisane v članku, uporabiti za vašo napravo.

Pomembno Te ublažitve ne uporabite za različice sistema Windows, starejše od sistema Windows 10, različica 1809, ali različice windows Server, starejše od sistema Windows Server 2019. Če ublažitev velja za naprave, ki niso podprte, se naprave ne zaženejo in prikaže se sporočilo o 0xc0000428. Za obnovitev boste morali upoštevati navodila v razdelku Postopek odstranitve in obnovitve pravilnika.

Razumevanje tveganja ublažitve posledic

Preden uporabite Microsoftov pravilnik o preklicu, morate biti seznanjeni z morebitnimi tveganji. Preden uporabite ublažitev posledic, preglejte ta tveganja in opravite vse potrebne posodobitve za obnovitveni medij.

• Celovitost kode uporabniškega načina (UMCI). Microsoftov pravilnik o preklicu omogoča celovitost kode uporabniškega načina, tako da se pravila v pravilniku uporabljajo za dvojiških vrednosti uporabniškega načina. UMCI privzeto omogoča tudi dinamično varnost kode. Z uveljavljanjem teh funkcij lahko pride do težav z združljivostjo z aplikacijami in skripti, zaradi katerih se ne bodo več izvajale, kar lahko vpliva na čas zagona. Preden uvedete ublažitev posledic, sledite navodilom za uvedbo pravilnika načina nadzora , da preizkusite morebitne težave.

• Zaklepanje in odstranjevanje posodobitev vmesnika UEFI. Po uporabi zaklepa vmesnika UEFI z Microsoftovim pravilnikom o preklicu v napravi naprave naprave ni mogoče povrniti (z odstranitvijo posodobitev sistema Windows, z obnovitveno točko ali na drug način), če še naprej uporabljate varni zagon. Tudi formatiranje diska ne bo odstranil zaklepanje UEFI ublažitve, če je že bila uporabljena. To pomeni, da se v primeru, ko poskušate povrniti operacijski sistem Windows na prejšnje stanje, ki nima uporabljene ublažitve posledic, naprava ne zažene, ne bo prikazano nobeno sporočilo o napaki in vmesnik UEFI bo nadaljeval z naslednjo razpoložljivo možnostjo zagona. To lahko povzroči zanko zagona. Če želite odstraniti zaklepanje vmesnika UEFI, morate onemogočiti varni zagon. Preden v svoji napravi uporabite preklice, ki so opisani v tem članku, bodite pozorni na vse morebitne posledice in jih temeljito preskusite.

• Zunanji zagonski medij. Ko so ublažitve posledic zaklepanja vmesnika UEFI uporabljene v napravi, je treba zunanji zagonski medij posodobiti s posodobitvami sistema Windows, ki so z datumom ali po 13. avgustu 2024 in z Microsoftovim pravilnikom o preklicu (SkuSiPolicy.p7b). Če zunanji zagonski medij ni posodobljen, se naprava morda ne zažene s tega medija. Oglejte si navodila v razdelku Posodobitev zunanjega zagonskega medija pred uporabo ublažitev posledic.
  
  Zagonski medij, ki je posodobljen z Microsoftovim pravilnikom o preklicu, je treba uporabiti le za zagon naprav, v katerih je že bila uporabljena ublažitev.  Če se uporablja z napravami brez ublažitve posledic, bo zaklepanje UEFI-a uporabljeno med zagonom z zagonskega medija. Nadaljnji zagoni z diska ne bodo uspeli, razen če je naprava posodobljena z ublažitvijo ali zaklepanjem UEFI.

• Obnovitveno okolje sistema Windows. Obnovitveno okolje sistema Windows (WinRE) v napravi je treba posodobiti s posodobitvami sistema Windows z datumom 13. avgusta 2024 ali po tem, ko se skuSipolicy.p7b uporabi za napravo. Če izpustite ta korak, lahko preprečite WinRE izvajanje funkcije Ponastavi računalnik.  Če želite več informacij, glejte Dodajanje paketa posodobitev v sistem Windows RE.

• Zagon okolja Preboot Execution Environment (PXE). Če je ublažitev uvedena v napravi in poskušate uporabiti zagon PXE, se naprava ne bo zaganjala, razen če ublažitve posledic uporabite tudi za vire zagona omrežja (koren, kjer je na voljo bootmgfw.efi). Če se naprava zažene iz vira omrežnega zagona, pri katerem je bila uporabljena ublažitev posledic, bo za napravo veljala zaklepanje UEFI in vplivala na nadaljnje zagone. Ne priporočamo uvedbe ublažitev posledic za vire omrežnega zagona, razen če so uvedene ublažitve posledic za vse naprave v vašem okolju.  

Smernice za uvajanje ublažitve posledic

Če želite odpraviti težave, opisane v tem članku, lahko uvedete Microsoftov pravilnik o preklicu (SkuSiPolicy.p7b). Ta ublažitev je podprta le v različicah sistema Windows 10, različica 1809 in novejše različice sistema Windows, ter sistemu Windows Server 2019 in novejših različicah sistema Windows Server. Preden uvedete Microsoftov pravilnik o preklicu (SkuSiPolicy.p7b), preverite, ali je prišlo do težav z združljivostjo s pravilnikom načina nadzora.

Opomba Če uporabljate BitLocker, preverite, ali je bil obnovitveni ključ za BitLocker varnostno kopiran. V ukaznem pozivu skrbnika lahko zaženete ta ukaz in zabeležite 48-mestno številsko geslo:

Dnevniki dogodkov sistema Windows

Windows zabeleži dogodke, ko se naložijo pravilniki o celovitosti kode, vključno s skuSiPolicy.p7b, in ko je datoteka zaradi uveljavljanja pravilnika blokirana zaradi nalaganja. S temi dogodki lahko preverite, ali je bila ublažitev uporabljena.

Dnevniki celovitosti kod so na voljo v Pregledovalniku dogodkov sistema Windows v dnevnikih aplikacij > storitev v sistemu Microsoft > Windows > CodeIntegrity > Dnevniki aplikacij > storitev >Storitve se > dnevniki storitve microsoft >Windows > AppLocker > MSI > Script.

Če želite več informacij o dogodkih za celovitost kode, glejte Vodnik za delovanje funkcije Windows Defender Application Control.

Postopek odstranjevanja in obnovitve pravilnika

Če pride do težav po uporabi ublažitve posledic, lahko z naslednjimi koraki odstranite ublažitev:

1. Začasno onemogočite BitLocker, če je omogočen. V oknu ukaznega poziva na skrbniški ravni zaženite ta ukaz:

   Manager-bde -protectors -disable c: -rebootcount 3

2. V meniju BIOS-a UEFI izklopite varni zagon.
   
   Postopek izklopa varnega zagona se razlikuje med izdelovalci naprav in modeli. Če želite pomoč pri tem, kje izklopiti varni zagon, se obrnite na dokumentacijo proizvajalca naprave. Več podrobnosti najdete v članku Onemogočanje varnega zagona.

3. Odstranite pravilnik SkuSiPolicy.p7b.

   1. Zaženite Windows kot običajno in se nato vpišite.
      
      Pravilnik SkuSiPolicy.p7b je treba odstraniti z naslednjega mesta:

      • <Particija sistema EFI>\Microsoft\Boot\SKUSiPolicy.p7b

   2. Zaženite ta skript v povišani seji Windows PowerShell, da počistite pravilnik s teh mest:

      $PolicyBinary = $env:windir+"\System32\SecureBootUpdates\SkuSiPolicy.p7b"
      $MountPoint = 'C:\EFIMount'

      $EFIPolicyPath = "$MountPoint\EFI\Microsoft\Boot\SkuSiPolicy.p7b"

      $EFIDestinationFolder="$MountPoint\EFI\Microsoft\Boot"
      $EFIPartition = (Get-Partition | Where-Object IsSystem). AccessPaths[0]
      if (-Not (Test-Path $MountPoint)) { New-Item -Path $MountPoint -Type Directory -Force }
      
      $MountPoint $EFIPartition if (-Not (Test-Path $EFIDestinationFolder)) { New-Item -Path $EFIDestinationFolder -Type Directory -Force }

      if (Test-Path $EFIPolicyPath ) {Remove-Item-Path $EFIPolicyPath -Force }

      mountvol $MountPoint /D

4. Vklopite varni zagon iz bios-a.
   
   Za informacije o tem, kje vklopiti varni zagon, glejte dokumentacijo proizvajalca vaše naprave.
   
   Če ste v 1. koraku izklopili varni zagon in je vaš pogon zaščiten s funkcijo BitLocker, začasno prekinite zaščito za BitLocker in nato v meniju BIOS-a UEFI vklopite varni zagon.

5. Vklopite BitLocker. V oknu ukaznega poziva na skrbniški ravni zaženite ta ukaz:

   Manager-bde -protectors -enable c:

6. Znova zaženite napravo.