CVE-2023-24932 ile ilişkili Güvenli Önyükleme değişikliklerine yönelik Windows Önyükleme Yöneticisi iptalleri nasıl yönetilir

Bu makalede

• Özet

  • Harekete Geçin

  • Etki Kapsamı

  • Riskleri anlamak

  • Bilinen Sorunlar

• Bu sürümün yönergeleri

• Risk azaltma dağıtım yönergeleri

• Windows yükleme medyasını güncelleştirme

• Güncelleştirmelerin zamanlaması

• CVE-2023-24932 ile ilgili Windows Olay günlüğü hataları

• Sık Sorulan Sorular (SSS)

• Önyükleme sorunlarını giderme

• Kurtarma prosedürü

• Başvurular

• Değişiklik günlüğü

Özet

Bu makalede, CVE-2023-24932 tarafından izlenen BlackLotus UEFI önyükleme kitini kullanan, herkese açık olarak açıklanan Güvenli Önyükleme güvenlik özelliğinin atlanmasına karşı koruma, azaltıcı etkenlerin nasıl etkinleştirileceği ve önyüklenebilir ortamlarla ilgili yönergeler açıklanmaktadır. Bootkit, işletim sisteminin başlatılmasını denetlemek için bir aygıtın önyükleme sırasında olabildiğince erken yüklenmek üzere tasarlanmış kötü amaçlı bir programdır.

Güvenli Önyükleme , Birleşik Genişletilebilir Bellenim Arabirimi'nden (UEFI) Windows çekirdeği Güvenilir Önyükleme dizisine kadar güvenli ve güvenilir bir yol oluşturmak için Microsoft tarafından önerilir. Güvenli Önyükleme, önyükleme sırasında bootkit kötü amaçlı yazılımlarını engellemeye yardımcı olur. Güvenli Önyükleme'yi devre dışı bırakmak, cihazı bootkit kötü amaçlı yazılımlarından etkilenme riskine sokar. CVE-2023-24932'de açıklanan Güvenli Önyükleme atlamasını düzeltmek, önyükleme yöneticilerinin iptal edilmesini gerektirir. Bu, bazı cihaz önyükleme yapılandırmalarında sorunlara neden olabilir.

CVE-2023-24932'de ayrıntıları verilen Güvenli Önyükleme atlamasına yönelik azaltıcı etkenler, 9 Temmuz 2024'te yayımlanan Windows güvenlik güncelleştirmelerine ve sonraki güncelleştirmelere dahildir. Ancak, bu risk azaltıcı etkenler varsayılan olarak etkin değildir. Bu güncelleştirmelerle, bu değişiklikleri ortamınızın içinde değerlendirmeye başlamanızı öneririz. Zamanlamanın tamamı, Güncelleştirmelerin zamanlaması bölümünde açıklanmaktadır.

Bu azaltmaları etkinleştirmeden önce, bu makaledeki ayrıntıları iyice gözden geçirmeli ve azaltıcı etkenleri etkinleştirmeniz veya Microsoft'tan gelecekteki bir güncelleştirmeyi beklemeniz gerekip gerekmediğine karar vermelisiniz. Azaltmaları etkinleştirmeyi seçerseniz, cihazlarınızın güncel ve hazır olduğunu doğrulamanız ve bu makalede açıklanan riskleri anlamanız gerekir. 

başa dön 

Bu sürümün yönergeleri

Bu sürüm için şu adımları izleyin.

1. Adım: Windows güvenlik güncelleştirmesini

yükleyin Desteklenen Windows cihazlarına 8 Temmuz 2025'te yayımlanan Windows aylık güvenlik güncelleştirmesini veya sonraki bir güncelleştirmeyi yükleyin. Bu güncellemeler CVE-2023-24932 için azaltmaları içerir ancak varsayılan olarak etkin değildir. Risk azaltıcı etkenleri dağıtmayı planlasanız da planlamasanız da tüm Windows cihazlarının bu adımı tamamlaması gerekir.

2. Adım: Değişiklikleri

değerlendirme Aşağıdakileri yapmanızı öneririz:

• Güvenli Önyükleme DB'nin güncellenmesine ve önyükleme yöneticisinin güncellenmesine izin veren ilk iki azaltmayı anlayın.

• Güncelleştirilmiş zamanlamayı gözden geçirin.

• İlk iki risk azaltmayı ortamınızdaki temsili cihazlara karşı test etmeye başlayın.

• Dağıtımı planlamaya başlayın.

3. Adım: Değişiklikleri zorunlu tutma

Riskleri Anlama bölümünde belirtilen riskleri anlamanızı öneririz.

• Kurtarma ve diğer önyüklenebilir ortamlar üzerindeki etkisini anlayın.

• Önceki tüm Windows önyükleme yöneticileri için kullanılan imzalama sertifikasına güvenmeyen üçüncü azaltmayı test etmeye başlayın.

başa dön  

Risk azaltma dağıtım yönergeleri

Risk azaltıcı etkenleri uygulamak için bu adımları izlemeden önce, desteklenen Windows cihazlarına 8 Temmuz 2025'te yayınlanan Windows aylık hizmet güncelleştirmesini veya sonraki bir güncelleştirmeyi yükleyin. Bu güncelleme, CVE-2023-24932 için azaltmaları içerir, ancak bunlar varsayılan olarak etkin değildir. Risk azaltma önlemlerini etkinleştirmeye yönelik planınızdan bağımsız olarak tüm Windows cihazlarının bu adımı tamamlaması gerekir.

Güncelleştirmeyi dağıtmak ve iptalleri uygulamak için şu adımları uygulayın:

1. 2023 Güvenli Önyükleme sertifikalarını veritabanına yükleyin.

   Bu adım, 2023 Güvenli Önyükleme sertifikalarını UEFI "Güvenli Önyükleme İmza Veritabanı" (DB) ve Anahtar Değişim Anahtarı değişkenine ekleyecektir. Ayrıca, önyükleme yöneticisini 2023 imzalı önyükleme yöneticisine güncelleyecektir.

   Not: Cihaz aylık Kümülatif UpdatesGüncelleştirmeler'de "Yüksek Güvenirlik" olarak işaretlenmişse, bu adım zaten tamamlanmış olabilir. Daha fazla ayrıntı için bkz. Yüksek Güvenilirlik Veritabanına Yakından Bakış ve https://aka.ms/GetSecureBoot. 

   1. DB'ye güncellemeyi gerçekleştirmek için regkey anahtarını ayarlayın. Bunu yapmak için Yönetici olarak PowerShell komut istemi penceresini açın, aşağıdaki komutların her birini ayrı ayrı yazın ve Enter tuşuna basın:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

      Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

   2. Yönetici olarak aşağıdaki PowerShell komutunu çalıştırın ve veritabanının başarıyla güncelleştirildiğini doğrulayın. Bu komut True değerini döndürmelidir.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

      Not Cihazda Sanal Güvenli Mod özelliği etkinleştirilmişse yeniden başlatma gerekebilir. Buna Credential Guard, Device Guard ve Windows Hello gibi özellikler dahildir.

2. Cihazınızda 2023 Güvenli Önyükleme sertifikalarının ve Önyükleme Yöneticisi'nin güncelleştirilmiş olduğunu doğrulayın.

   Bu adım, sertifikaların uygulandığını ve önyükleme yöneticisinin "'Windows UEFI CA 2023" imzalı sürüme güncellendiğini doğrulayacaktır.

   Yönetici olarak aşağıdaki PowerShell komutunu çalıştırın ve güncelleştirmelerin başarıyla uygulandığını doğrulayın. Bu komut Güncelleştirildi ifadesini döndürmelidir.

   (Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing").UEFICA2023Status

3. İptal etmeyi etkinleştirin.

   UEFI Yasak Listesi (DBX), güvenilmeyen UEFI modüllerinin yüklenmesini engellemek için kullanılır. Bu adımda, DBX'in güncelleştirilmesi DBX'e "Windows Production CA 2011" sertifikasını ekleyecektir. Bu, bu sertifika tarafından imzalanan tüm önyükleme yöneticilerine artık güvenilmemesine neden olur.

   UYARI: Üçüncü azaltmayı uygulamadan önce, sistemi başlatmak için kullanılabilecek bir kurtarma flash sürücüsü oluşturun. Bunun nasıl yapılacağı hakkında daha fazla bilgi için Windows yükleme medyasını güncelleştirme bölümüne bakın.

   Sisteminiz önyüklenemez bir duruma geçerse, aygıtı iptal öncesi bir duruma sıfırlamak için Kurtarma prosedürü bölümündeki adımları izleyin.

   1. "Windows Production PCA 2011" sertifikasını Güvenli Önyükleme UEFI Yasak Listesi'ne (DBX) ekleyin. Bunu yapmak için Yönetici olarak Komut İstemi penceresini açın, aşağıdaki komutların her birini ayrı ayrı yazın ve Enter tuşuna basın:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

      Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

   2. Olay günlüğünde olay 1037'yi arayarak yükleme ve iptal listesinin başarıyla uygulandığını doğrulayın.
      
      Olay 1037 hakkında bilgi için bkz. KB5016061: Güvenli Önyükleme DB ve DBX değişken güncelleştirme olayları. Veya, aşağıdaki PowerShell komutunu Yönetici olarak çalıştırın ve Doğru döndürdüğünden emin olun:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011' 

4. SVN güncellemesini cihaz yazılımına uygulayın.
   
   2. Adımda dağıtılan Önyükleme Yöneticisi'nde yerleşik olarak yeni bir kendi kendini iptal etme özelliği vardır. Önyükleme Yöneticisi çalışmaya başladığında, üretici yazılımında depolanan Güvenli Sürüm Numarasını (SVN) Önyükleme Yöneticisi'nde yerleşik SVN ile karşılaştırarak kendi kendini kontrol eder. Önyükleme Yöneticisi SVN'si, üretici yazılımında depolanan SVN'den daha düşükse, Önyükleme Yöneticisi çalışmayı reddedecektir. Bu özellik, bir saldırganın Önyükleme Yöneticisi'ni daha eski ve güncelleştirilmemiş bir sürüme geri döndürmesini engeller.
   
   Gelecekteki güncellemelerde, Önyükleme Yöneticisi'nde önemli bir güvenlik sorunu düzeltildiğinde, SVN numarası hem Önyükleme Yöneticisi'nde hem de üretici yazılımı güncellemesinde artırılacaktır. Her iki güncelleştirme, yamalı cihazların korunduğundan emin olmak için aynı toplu güncelleştirmede yayınlanacaktır. SVN her güncellendiğinde, önyüklenebilir medyanın güncellenmesi gerekecektir.
   
   9 Temmuz 2024 güncellemelerinden itibaren SVN, Önyükleme Yöneticisi'nde ve üretici yazılımı güncellemesinde artırılıyor. Üretici yazılımı güncelleştirmesi isteğe bağlıdır ve aşağıdaki adım izlenerek uygulanabilir:

   1. SVN güncellemesini cihaz yazılımına uygulayın. Bunu yapmak için Yönetici olarak Komut İstemi penceresini açın, aşağıdaki komutların her birini ayrı ayrı yazın ve Enter tuşuna basın:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

      Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

başa dön  

Windows yükleme medyasını güncelleştirme

Aşağıdaki adımları izleyerek Kurtarma Sürücüsü Oluştur uygulamasını kullanabilirsiniz. Bu medya, donanım arızası gibi büyük bir sorun olması durumunda bir cihazı yeniden yüklemek için kullanılabilir. Windows'u yeniden yüklemek için kurtarma sürücüsünü kullanabilirsiniz.

1. 8 Temmuz 2025 veya sonraki bir güncelleştirmenin ve ilk risk azaltma adımının (Güvenli Önyükleme veritabanını güncelleştirme) uygulandığı bir cihaza gidin.

2. Kurtarma sürücüsü oluşturmak için Başlat menüsünden "Kurtarma Sürücüsü Oluştur" denetim masası uygulamasını arayın ve yönergeleri izleyin.

3. Yeni oluşturulan flash sürücü takılıyken (örneğin, "D:" sürücüsü olarak), yönetici olarak aşağıdaki komutları çalıştırın. Aşağıdaki komutların her birini yazın ve Enter tuşuna basın:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ortamınızdaki yüklenebilir medyayı, Windows yükleme medyasını Dinamik Güncelleştirme kılavuzuyla güncelleştirin'i kullanarak yönetiyorsanız, şu adımları izleyin. Bu ek adımlar, "Windows UEFI CA 2023" imzalama sertifikası tarafından imzalanan önyükleme dosyalarını kullanan önyüklenebilir bir flash sürücü oluşturacaktır.

1. 8 Temmuz 2025 veya sonraki bir güncelleştirmenin ve ilk risk azaltma adımının (Güvenli Önyükleme DB'yi güncelleştirme) uygulandığı bir cihaza gidin.

2. 8 Temmuz 2025 veya sonraki bir güncelleştirmenin uygulandığı medya oluşturmak için aşağıdaki bağlantıda yer alan adımları izleyin: Windows yükleme medyasını Dinamik Güncelleştirme ile güncelleştirme

3. Medyanın içeriğini USB flash sürücüye yerleştirin ve flash sürücüyü sürücü harfi olarak takın. Örneğin, flash sürücüyü "D:" olarak bağlayın.

4. Yönetici olarak komut penceresinden aşağıdaki komutları çalıştırın. Aşağıdaki komutların her birini yazın ve Enter tuşuna basın.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Risk azaltıcı etkenler uygulandıktan sonra bir cihazda Güvenli Önyükleme ayarları varsayılanlara sıfırlanırsa, cihaz önyükleme yapmaz. Bu sorunu çözmek için 9 Temmuz 2024 güncelleştirmelerine "Windows UEFI CA 2023" sertifikasını DB'ye yeniden uygulamak için kullanılabilecek bir onarım uygulaması eklenmiştir (risk azaltma #1).

1. 8 Temmuz 2025 veya sonraki güncelleştirmenin uygulandığı cihaza gidin.

2. Bir komut penceresinde, aşağıdaki komutları kullanarak kurtarma uygulamasını flash sürücüye kopyalayın (flash sürücünün "D:" sürücüsü olduğu varsayılarak). Her komutu tek tek yazın ve Enter tuşuna basın:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi D:\efi\boot\bootx64.efi

3. Güvenli Önyükleme ayarları varsayılanlara sıfırlanmış olan cihazda, flash sürücüyü takın, cihazı yeniden başlatın ve flash sürücüden önyükleme yapın.

başa dön  

Güncelleştirmelerin zamanlaması

GüncelleştirmelerGüncelleştirmeler aşağıdaki gibi yayınlanmıştır:

• İlk Dağıtım Bu aşama, 9 Mayıs 2023'te yayımlanan güncelleştirmelerle başladı ve bu azaltmaları etkinleştirmek için el ile uygulanan adımlarla temel risk azaltıcı etkenler sağladı.

• İkinci Dağıtım Bu aşama, 11 Temmuz 2023'te yayımlanan ve sorunu azaltmak için basitleştirilmiş adımlar ekleyen güncelleştirmelerle başladı.

• Değerlendirme Aşaması Bu aşama 9 Nisan 2024'te başladı ve ek önyükleme yöneticisi azaltmaları eklendi.

• Dağıtım Aşaması Bu aşama Temmuz 2024'te başladı. Müşteriler risk azaltma önlemlerini uygulamaya ve medyayı güncelleştirmeye hemen başlamalıdır.

• Yürürlük Aşaması Azaltıcı etkenleri kalıcı hale getirecek olan Yürürlük Aşaması. Bu aşamanın tarihi daha sonraki bir tarihte duyurulacaktır.

Not Sürüm programı gerektiğinde revize edilebilir.

CVE-2023-24932 ile ilgili Windows Olay günlüğü hataları

DB ve DBX'in güncelleştirilmesiyle ilgili Windows Olay Günlüğü girdileri KB5016061: Güvenli Önyükleme DB ve DBX değişken güncelleştirme olayları bölümünde ayrıntılı olarak açıklanmıştır.

Risk azaltıcı etkenlerin uygulanmasıyla ilgili "başarı" olayları aşağıdaki tabloda listelenmiştir.

başa dön  

Sık Sorulan Sorular (SSS)

• İptalleri cihazıma uyguladım ve cihazımı yeniden yüklemem veya kurtarmam gerekiyor. Kurtarma medyamı (CD/DVD, PXE Önyüklemesi, USB sürücüsü) kullanarak cihazımı neden başlatamıyorum?

  • Cihazı kurtarmak için Kurtarma Prosedürü bölümüne bakın.

  • Önyükleme Sorunlarını Giderme bölümündeki yönergeleri izleyin.

• Cihazım birden çok işletim sistemi kullanıyor. Nasıl yaparım? sistemimi nasıl güncellerim?

  İptalleri uygulamadan önce tüm Windows işletim sistemlerini 9 Temmuz 2024 tarihinde veya sonrasında yayımlanan güncelleştirmelerle güncelleştirin. İptalleri uyguladıktan sonra, en azından 9 Temmuz 2024'te yayınlanan güncelleştirmelere güncelleştirilmeyen herhangi bir Windows sürümünü başlatamayabilirsiniz. Önyükleme Sorunlarını Giderme bölümündeki yönergeleri izleyin.

• Bu makalede açıklanan güvenlik güçlendirme özelliğiyle ilgili ne tür önyükleme hatası iletileri olabilir?

  Önyükleme sorunlarını giderme bölümüne bakın.

başa dön 

Önyükleme sorunlarını giderme

Üç risk azaltma da uygulandıktan sonra, cihaz üretici yazılımı, Windows Production PCA 2011 tarafından imzalanmış bir önyükleme yöneticisi kullanılarak önyükleme yapmaz. Üretici yazılımı tarafından bildirilen önyükleme hataları cihaza özgüdür. Lütfen Kurtarma prosedürü bölümüne bakın.

başa dön  

Kurtarma prosedürü

Risk azaltıcı etkenleri uygularken bir şeyler ters giderse ve cihazınızı başlatamıyorsanız veya harici bir ortamdan (flash sürücü veya PXE önyüklemesi gibi) başlatmanız gerekiyorsa aşağıdaki önerileri deneyin:

1. Güvenli Önyükleme'yi kapatın.
   
   Bu yordam, cihaz üreticileri ve modelleri arasında farklılık gösterir. Cihazınızın UEFI BIOS menüsüne girin ve Güvenli Önyükleme ayarlarına gidin ve kapatın. Bu işlemle ilgili ayrıntılar için cihaz üreticinizin belgelerine bakın. Güvenli Önyüklemeyi Devre Dışı Bırakma bölümünde daha fazla ayrıntı bulunabilir.

2. Güvenli Önyükleme anahtarlarını fabrika varsayılanlarına sıfırlayın.

   Cihaz, güvenli önyükleme anahtarlarını fabrika varsayılanlarına sıfırlamayı destekliyorsa, bu işlemi şimdi gerçekleştirin.

   DİKKAT Bazı cihaz üreticileri, Güvenli Önyükleme değişkenleri için hem "Temizle" hem de "Sıfırla" seçeneğine sahiptir, bu durumda "Sıfırla" kullanılmalıdır. Amaç, Güvenli Önyükleme değişkenlerini üreticinin varsayılan değerlerine geri koymaktır.

   Cihazınızın şimdi başlaması gerekir, ancak önyükleme kiti kötü amaçlı yazılımlarına karşı savunmasız olduğunu unutmayın. Güvenli Önyükleme'yi yeniden etkinleştirmek için bu kurtarma işleminin 5. Adımını tamamladığınızdan emin olun.

3. Windows'u sistem diskinden başlatmayı deneyin.

   1. Windows'ta oturum açın.

   2. EFI sistemi önyükleme bölümündeki önyükleme dosyalarını geri yüklemek için bir Yönetici komut isteminden aşağıdaki komutları çalıştırın. Her komutu tek tek yazın ve Enter tuşuna basın:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. BCDBoot'u çalıştırmak, "Önyükleme dosyaları başarıyla oluşturuldu" iletilerini döndürür. Bu mesaj görüntülendikten sonra cihazı yeniden Windows'a döndürün.

4. 3. Adım cihazı başarılı bir şekilde kurtaramazsa, Windows'u yeniden yükleyin.

   1. Cihazı mevcut kurtarma medyasından başlatın.

   2. Kurtarma medyasını kullanarak Windows'u yüklemeye devam edin.

   3. Windows'ta oturum açın.

   4. Cihazın Windows'a yeniden başladığını doğrulamak için Windows'u yeniden başlatın.

5. Güvenli Önyüklemeyi yeniden etkinleştirin ve cihazı yeniden başlatın.
   
   Cihaz UEFI menüsüne girin ve Güvenli Önyükleme ayarlarına gidin ve açın. Bu işlemle ilgili ayrıntılar için cihaz üreticinizin belgelerine bakın. Daha fazla bilgiyi "Güvenli Önyüklemeyi Yeniden Etkinleştirme" bölümünde bulabilirsiniz.

başa dön

Başvurular

• CVE-2022-21894 kullanarak saldırıları araştırma kılavuzu: BlackLotus kampanyası

• Güvenli Önyükleme

• Kayıtlı Windows cihazlarında Güvenli Önyüklemeyi etkinleştirme

• DBX güncelleştirmeleri uygulanırken oluşturulan olaylar için bkz. KB5016061: Güvenlik açığı bulunan ve iptal edilen Önyükleme Yöneticilerini ele alma.

başa dön

Değişiklik günlüğü

başa dön