Hướng dẫn Microsoft áp dụng bản cập nhật DBX Khởi động An toàn (KB4575994)

Áp dụng bản cập nhật DBX trên Windows

Sau khi bạn đọc các cảnh báo trong mục trước và xác minh rằng thiết bị của bạn tương thích, hãy làm theo các bước sau để cập nhật DBX Khởi động An toàn:

1. Tải xuống Tệp Danh sách Thu hồi UEFI (Dbxupdate.bin) phù hợp cho nền tảng của bạn từ trang web UEFI này.

2. Bạn phải tách tệp Dbxupdate.bin thành các cấu phần cần thiết để áp dụng chúng bằng cách sử dụng lệnh ghép ngắn PowerShell. Để thực hiện việc này, hãy làm theo các bước sau:

   1. Tải xuống tập lệnh PowerShell từ trang web Bộ sưu tập PowerShell này.

   2. Để giúp định vị tập lệnh, hãy chạy lệnh ghép ngắn sau đây:

      • Get-InstalledScript -name SplitDbxContent | select-object Name, Version, Author, PublishedDate, InstalledDate, InstalledLocation

   3. Xác minh rằng lệnh ghép ngắn đã tải xuống thành công tập lệnh và cung cấp chi tiết đầu ra, bao gồm Tên, Phiên bản, Tác giả, Ngày_Phát_hành, Ngày_Cài_đặt và Đã_Cài_Đặt.

   4. Chạy lệnh ghép ngắn sau:

      • [string]$ScriptPath= @(Get-InstalledScript -name SplitDbxContent | select-object -ExpandProperty InstalledLocation)

      • cd $ScriptPath

      • Ls

   5. Xác minh rằng tệp SplitDbxContent.ps1 hiện nằm trong thư mục Tập lệnh.

   6. Chạy tập lệnh PowerShell sau đây trên tệp Dbxupdate.bin:
      
         SplitDbxContent.ps1 “c:\path\to\file\dbxupdate.bin"

   7. Xác minh rằng lệnh đã tạo các tệp sau.

      

      • Content.bin – cập nhật nội dung

      • Signature.p7 – chữ ký cho phép quy trình cập nhật

3. Trong phiên PowerShell quản trị, hãy chạy lệnh ghép ngắn Set-SecureBootUefi để áp dụng bản cập nhật DBX:
   
   bản cậpSet-SecureBootUefi -Name dbx -ContentFilePath .\content.bin -SignedFilePath .\signature.p7 -Time 2010-03-06T19:17:21Z -AppendWrite
   
   Kết quả đầu ra dự
   
   

4. Để hoàn tất quá trình cài đặt bản cập nhật, hãy khởi động lại thiết bị.

Để biết thêm thông tin về lệnh ghép ngắn cấu hình Khởi động An toàn và cách sử dụng cho các bản cập nhật DBX, hãy xem Set-Secure.

Xác minh rằng đã cập nhật thành công  

Sau khi bạn hoàn thành thành công các bước trong mục trước đó và khởi động lại thiết bị, hãy làm theo các bước sau để xác minh rằng bản cập nhật đã được áp dụng thành công. Sau khi xác minh thành công, thiết bị của bạn sẽ không còn bị ảnh hưởng bởi lỗ hổng GRUB.

1. Tải xuống tập lệnh xác minh bản cập nhật DBX từ trang web GitHub Gist này.

2. Trích xuất tập lệnh và nhị phân từ tệp nén.

3. Chạy tập lệnh PowerShell sau đây trong thư mục chứa tập lệnh mở rộng và nhị phân để xác minh bản cập nhật DBX:
   
   Bản cậpCheck-Dbx.ps1 '.\dbx-2021-April.bin' 

   Lưu ý: Nếu bản cập nhật DBX khớp với các phiên bản tháng 7 năm 2020 hoặc tháng 10 năm 2020 từ kho lưu trữ tệp danh sách thu hồi này được áp dụng, hãy chạy lệnh thích hợp sau thay vào đó:
   
   Check-Dbx.ps1 '.\dbx-2020-July.bin' 

   Check-Dbx.ps1 '.\dbx-2020-October.bin' 

4. Xác minh rằng đầu ra khớp với kết quả mong đợi.
   
   

FAQ

Câu hỏi 1: Thông báo lỗi "Get-SecureBootUEFI: Lệnh ghép ngắn không được hỗ trợ trên nền tảng này" có nghĩa là gì?

A1: Thông báo lỗi này cho biết không bật tính năng Khởi động An toàn trên máy tính. Vì vậy, thiết bị này không bị ảnh hưởng bởi lỗ hổng GRUB. Không cần phải làm gì thêm.

Câu hỏi 2: Làm thế nào để cấu hình thiết bị tin cậy hoặc không tin cậy UEFI CA bên thứ ba? 

A2: Chúng tôi khuyên bạn nên tham khảo nhà cung cấp OEM của mình. 

Đối với Microsoft Surface, thay đổi cài đặt Khởi động An toàn thành "Chỉ Microsoft", rồi chạy lệnh PowerShell sau (kết quả phải là "False"): 

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Corporation UEFI CA 2011' 

Để biết thêm thông tin về cách đặt cấu hình cho Microsoft Surface, hãy xem Quản lý cài đặt Surface UEFI - Surface | Microsoft Docs.

Câu hỏi 3: Sự cố này có ảnh hưởng đến máy ảo Azure IaaS Generation 1 và Generation 2 không? 

A3: Không. Máy ảo khách Azure Gen1 và Gen2 không hỗ trợ tính năng Khởi động An toàn. Do đó, họ không bị ảnh hưởng bởi chuỗi tấn công tin cậy. 

Câu hỏi 4: ADV200011 và CVE-2020-0689 có tham chiếu đến cùng một lỗ hổng liên quan đến Khởi động An toàn không? 

A: Không. Các tư vấn bảo mật này mô tả các lỗ hổng khác nhau. "ADV200011" đề cập đến một lỗ hổng trong GRUB (cấu phần Linux) có thể gây ra máy bỏ qua Khởi động An toàn. "CVE-2020-0689" đề cập đến một lỗ hổng bỏ qua tính năng bảo mật tồn tại trong Khởi động An toàn. 

Q5: Tôi không thể chạy một trong hai tập lệnh PowerShell. Tôi nên làm gì?

A: Xác nhận chính sách thực thi PowerShell bằng cách chạy lệnh Get-ExecutionPolicy . Tùy thuộc vào đầu ra, bạn có thể phải cập nhật chính sách thực thi:

• Set-ExecutionPolicy (Microsoft.PowerShell.Security) - PowerShell | Microsoft Docs