KB5037167: คู่มือโปรแกรมการตรวจสอบความถูกต้องของการอัปเดตความปลอดภัยเพื่อทดสอบการเพิกถอน PCA2011 เพื่อระบุ CVE-2023-24932

บทนำ

บทความนี้เป็นส่วนเพิ่มเติมสําหรับบทความต่อไปนี้ซึ่งจะอัปเดตในเดือนเมษายน 2024:

• KB5025885: วิธีจัดการการเพิกถอน Windows Boot Manager สําหรับการเปลี่ยนแปลงการบูตแบบปลอดภัยที่เกี่ยวข้องกับ CVE-2023-24932

ส่วนเพิ่มเติมนี้อธิบายขั้นตอนการปรับปรุงเพื่อปรับใช้การลดปัญหาใหม่กับ BlackLotus UEFI boot-kit ที่ติดตามโดย CVE-2023-24932 และรวมถึงคําแนะนําในการทดสอบสําหรับสภาพแวดล้อมของคุณ

เพื่อช่วยป้องกันการใช้งานในทางที่ผิดที่เป็นอันตรายของผู้จัดการการบูตที่มีช่องโหว่ เราต้องปรับใช้ใบรับรองการลงชื่อเข้าใช้ UEFI Secure Boot ใหม่กับเฟิร์มแวร์อุปกรณ์ และเพิกถอนความเชื่อถือในเฟิร์มแวร์ของใบรับรองการลงชื่อในปัจจุบัน การทําเช่นนี้จะทําให้ผู้จัดการการเริ่มต้นระบบที่มีอยู่ทั้งหมดมีความเสี่ยงไม่น่าเชื่อถือจากอุปกรณ์ที่เปิดใช้งานการบูตแบบปลอดภัย คู่มือนี้จะช่วยคุณเกี่ยวกับกระบวนการนั้น

ขั้นตอนการบรรเทาสามขั้นตอนที่ระบุไว้ในคู่มือนี้มีดังนี้:

1. กําลังอัปเดต DB: จะมีการเพิ่มใบรับรอง PCA (PCA2023) ใหม่ลงใน Secure Boot DB ซึ่งจะอนุญาตให้อุปกรณ์เริ่มต้นระบบสื่อที่เซ็นชื่อโดยใบรับรองนี้

2. การติดตั้งตัวจัดการการเริ่มต้นระบบ: ตัวจัดการการบูตที่ลงนามด้วย PCA2011 ที่มีอยู่จะถูกแทนที่ด้วยตัวจัดการการบูตที่ลงนามโดย PCA2023ตัวจัดการการเริ่มต้นระบบทั้งสองจะรวมอยู่ในการอัปเดตความปลอดภัยประจําเดือนเมษายน 2024

3. การเพิกถอน DBX ของ PCA2011: รายการปฏิเสธจะถูกเพิ่มลงใน Secure Boot DBX ป้องกันไม่ให้ผู้จัดการการบูตที่ลงชื่อด้วย PCA2011 เริ่มต้นระบบ

สิ่งนี้ใช้กับฉันได้หรือไม่

คู่มือนี้ใช้กับอุปกรณ์ที่มีการเปิดใช้งานการบูตแบบปลอดภัยและสื่อการกู้คืนที่มีอยู่ทั้งหมดสําหรับอุปกรณ์เหล่านี้

หากอุปกรณ์ของคุณใช้ Windows Server 2012 หรือ Windows Server 2012 R2 ตรวจสอบให้แน่ใจว่าได้อ่านส่วน "ปัญหาที่ทราบแล้ว" ก่อนที่จะดําเนินการต่อ

ก่อนที่คุณจะเริ่ม

ปัญหาที่พบ

สําหรับ Windows Server 2012 และ Windows Sever 2012 R2 เท่านั้น:

• ระบบที่ใช้ TPM 2.0 ไม่สามารถปรับใช้การแก้ไขที่เผยแพร่ในโปรแกรมแก้ไขความปลอดภัยเดือนเมษายน 2024 ได้เนื่องจากปัญหาความเข้ากันได้ที่ทราบแล้วกับการวัดค่า TPM การอัปเดตประจําเดือนเมษายน 2024 จะบล็อกการแก้ไข #2 (ตัวจัดการการเริ่มต้นระบบ) และ #3 (การอัปเดต DBX) บนระบบที่ได้รับผลกระทบ

• Microsoft ทราบถึงปัญหาและการอัปเดตจะเผยแพร่ในอนาคตเพื่อยกเลิกการบล็อกระบบที่ใช้ TPM 2.0

• เมื่อต้องการตรวจสอบเวอร์ชัน TPM ของคุณ ให้คลิกขวาที่ เริ่ม คลิก เรียกใช้ แล้วพิมพ์ tpm.msc ที่ด้านล่างขวาของบานหน้าต่างศูนย์ภายใต้ ข้อมูลผู้ผลิต TPM คุณควรเห็นค่าสําหรับ เวอร์ชันข้อมูลจําเพาะ

ขั้นตอนการตรวจสอบการเข้าร่วม

ส่วนที่เหลือของบทความนี้อธิบายการทดสอบสําหรับการเลือกใช้อุปกรณ์เพื่อบรรเทาปัญหา การลดปัญหาไม่ได้เปิดใช้งานตามค่าเริ่มต้น หากองค์กรของคุณวางแผนที่จะเปิดใช้งานการบรรเทาเหล่านี้ โปรดทําตามขั้นตอนการตรวจสอบต่อไปนี้เพื่อตรวจสอบความเข้ากันได้ของอุปกรณ์

การอ้างอิงรีจิสทรีคีย์

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

ผลลัพธ์และคําติชม

ส่งอีเมลไปยัง suvp@microsoft.com พร้อมผลการทดสอบ คําถาม และคําติชม

ขั้นตอนการกู้คืนและคืนค่า

เมื่อดําเนินการขั้นตอนการกู้คืน ให้แชร์ข้อมูลต่อไปนี้กับ Microsoft:

• สกรีนช็อตของความล้มเหลวในการเริ่มต้นระบบที่พบ

• ขั้นตอนที่ดําเนินการซึ่งนําไปสู่อุปกรณ์กลายเป็นไม่สามารถเริ่มต้นระบบได้

• รายละเอียดของการกําหนดค่าอุปกรณ์

เมื่อดําเนินการขั้นตอนการคืนค่า ให้หยุด BitLocker ชั่วคราวก่อนเริ่มกระบวนการ

หากมีสิ่งผิดปกติเกิดขึ้นในระหว่างกระบวนการนี้ และคุณไม่สามารถเริ่มอุปกรณ์ของคุณได้ หรือคุณจําเป็นต้องเริ่มต้นจากสื่อภายนอก (เช่น ธัมป์ไดรฟ์ หรือการบูตแบบ PXE) ให้ลองทําตามขั้นตอนต่อไปนี้

1. ปิดการบูต
   
   แบบปลอดภัย ขั้นตอนนี้แตกต่างกันระหว่างผู้ผลิตพีซีและรุ่นต่างๆ เข้าสู่เมนู BIOS ของพีซี UEFI และไปที่การตั้งค่าการบูตแบบปลอดภัยและปิด ตรวจสอบเอกสารประกอบจากผู้ผลิตพีซีของคุณเพื่อดูข้อมูลเฉพาะเกี่ยวกับกระบวนการนี้ ดูข้อมูลเพิ่มเติมได้ที่ การปิดใช้งานการบูตแบบปลอดภัย

2. ล้างคีย์
   
   การบูตแบบปลอดภัย หากอุปกรณ์รองรับการล้างคีย์การบูตแบบปลอดภัยหรือรีเซ็ตคีย์การบูตแบบปลอดภัยเป็นค่าเริ่มต้นจากโรงงาน ให้ดําเนินการนี้ทันที  
   
   อุปกรณ์ของคุณควรเริ่มทํางานทันที แต่โปรดทราบว่ามีความเสี่ยงที่จะเกิดมัลแวร์สําหรับชุดการบูต ตรวจสอบให้แน่ใจว่าได้ทําขั้นตอนที่ 5 เมื่อสิ้นสุดกระบวนการกู้คืนนี้เพื่อเปิดใช้งานการบูตแบบปลอดภัยอีกครั้ง

3. ลองเริ่ม Windows จากดิสก์ระบบ

   1. หากเปิดใช้งาน BitLocker และเข้าสู่การกู้คืน ให้ป้อนคีย์การกู้คืน BitLocker ของคุณ

   2. เข้าสู่ระบบ Windows

   3. เรียกใช้คําสั่งต่อไปนี้จากพร้อมท์คําสั่งของผู้ดูแลระบบเพื่อคืนค่าไฟล์การเริ่มต้นระบบในพาร์ติชันสําหรับบูตระบบ EFI:

      Mountvol s: /s del s:\EFI\Microsoft\*.* /f /s /q bcdboot %systemroot% /s S:

   4. การเรียกใช้ BCDBoot ควรส่งคืน "สร้างไฟล์การเริ่มต้นระบบเรียบร้อยแล้ว"

   5. หากเปิดใช้งาน BitLocker ให้หยุด BitLocker ชั่วคราว

   6. รีสตาร์ตอุปกรณ์

4. หากขั้นตอนที่ 3 กู้คืนอุปกรณ์ไม่สําเร็จ ให้ติดตั้ง Windows ใหม่

   1. เริ่มจากสื่อการกู้คืนที่มีอยู่

   2. ดําเนินการติดตั้ง Windows โดยใช้สื่อการกู้คืน

   3. เข้าสู่ระบบ Windows

   4. รีสตาร์ตเพื่อตรวจสอบว่าอุปกรณ์เริ่มต้น Windows ได้สําเร็จ

5. เปิดใช้งานการบูตแบบปลอดภัยและเริ่มระบบของอุปกรณ์ใหม่
   
   ป้อนเมนู UEFI ของ devicce ของคุณและนําทางไปยังการตั้งค่าการบูตแบบปลอดภัยและเปิด ตรวจสอบเอกสารประกอบจากผู้ผลิตอุปกรณ์ของคุณเพื่อดูข้อมูลเฉพาะเกี่ยวกับกระบวนการนี้ ดูข้อมูลเพิ่มเติมได้ที่ เปิดใช้งานการบูตแบบปลอดภัยอีกครั้ง

6. หาก Windows เริ่มระบบยังคงล้มเหลว ให้ป้อน UEFI BIOS อีกครั้ง และปิดการบูตแบบปลอดภัย

7. เริ่มต้น Windows

8. แชร์เนื้อหาของ DB, DBX กับ Microsoft

   1. เปิด PowerShell ในโหมดผู้ดูแลระบบ

   2. จับภาพ DB:

      Get-SecureBootUEFI -name:db -OutputFilePath DBUpdateFw.bin

   3. จับภาพ DBX:

      Get-SecureBootUEFI -name:dbx –OutputFilePath dbxUpdateFw.bin

   4. แชร์ไฟล์ DBUpdateFw.bin และ dbxUpdateFw.bin ที่สร้างขึ้นในขั้นตอนที่ 8b และ 8c