KB5025885: Cara mengelola pencabutan Windows Boot Manager untuk perubahan Boot Aman yang terkait dengan CVE-2023-24932

Dalam artikel ini

• Rangkuman

  • Ambil Tindakan

  • Lingkup Dampak

  • Memahami risiko

  • Masalah yang Diketahui

• Panduan untuk rilis ini

• Panduan penyebaran mitigasi

• Media yang dapat di-boot

• Memperbarui media penginstalan Windows

• Pengaturan waktu pembaruan

• Kesalahan log Kejadian Windows terkait dengan CVE-2023-24932

• Tanya Jawab Umum (FAQ)

• Memecahkan masalah boot

• Prosedur pemulihan

• Referensi

• Mengubah log

Rangkuman

Artikel ini menguraikan perlindungan terhadap bypass fitur keamanan Boot Aman yang diungkap secara publik yang menggunakan bootkit BlackLotus UEFI yang dilacak oleh CVE-2023-24932, cara mengaktifkan mitigasi, dan panduan tentang media yang dapat di-boot. Bootkit adalah program berbahaya yang dirancang untuk memuat sedini mungkin dalam urutan boot perangkat untuk mengontrol mulai sistem operasi.

Secure Boot direkomendasikan oleh Microsoft untuk membuat jalur yang aman dan tepercaya dari Antarmuka Firmware Unified Extensible (UEFI) melalui urutan Boot Tepercaya kernel Windows. Secure Boot membantu mencegah malware bootkit dalam urutan boot. Menonaktifkan Secure Boot membuat perangkat berisiko terinfeksi oleh malware bootkit. Memperbaiki bypass Boot Aman yang dijelaskan dalam CVE-2023-24932 memerlukan pencabutan boot manager. Hal ini dapat menyebabkan masalah untuk beberapa konfigurasi boot perangkat.

Mitigasi terhadap bypass Boot Aman yang dirinci dalam CVE-2023-24932 disertakan dalam pembaruan keamanan Windows yang dirilis pada atau setelah 9 Juli 2024. Namun, mitigasi ini tidak diaktifkan secara default. Dengan pembaruan ini, kami menyarankan agar Anda mulai mengevaluasi perubahan ini dalam lingkungan Anda. Jadwal lengkap dijelaskan di bagian Pengaturan Waktu pembaruan .

Sebelum mengaktifkan mitigasi ini, Anda harus meninjau detail dalam artikel ini secara menyeluruh dan menentukan apakah Anda harus mengaktifkan mitigasi atau menunggu pembaruan mendatang dari Microsoft. Jika Anda memilih untuk mengaktifkan mitigasi, Anda harus memverifikasi bahwa perangkat Anda telah diperbarui dan siap, dan memahami risiko yang dijelaskan dalam artikel ini. 

Panduan untuk rilis ini

Untuk rilis ini, ikuti dua langkah ini.

Langkah 1: Instal pembaruan

keamanan Windows Instal pembaruan keamanan bulanan Windows yang dirilis pada atau setelah 9 Juli 2024, di perangkat Windows yang didukung. Pembaruan ini mencakup mitigasi untuk CVE-2023-24932 tetapi tidak diaktifkan secara default. Semua perangkat Windows harus menyelesaikan langkah ini apakah Anda berencana untuk menyebarkan mitigasi atau tidak.

Langkah 2: Mengevaluasi perubahan

Kami mendorong Anda untuk melakukan hal berikut:

• Pahami dua mitigasi pertama yang memungkinkan pembaruan Secure Boot DB dan memperbarui manajer boot.

• Tinjau jadwal yang diperbarui.

• Mulailah menguji dua mitigasi pertama terhadap perangkat perwakilan dari lingkungan Anda.

• Mulai perencanaan untuk penyebaran.

Langkah 3: Menerapkan perubahan

Kami mendorong Anda untuk memahami risiko yang dimunculkan di bagian Memahami Risiko.

• Pahami dampaknya terhadap pemulihan dan media lain yang dapat di-boot.

• Mulailah menguji mitigasi ketiga yang tidak mempercayai sertifikat penandatanganan yang digunakan untuk semua manajer boot Windows sebelumnya.

Panduan penyebaran mitigasi

Sebelum mengikuti langkah-langkah ini untuk menerapkan mitigasi, instal pembaruan pelayanan bulanan Windows yang dirilis pada atau setelah 9 Juli 2024, di perangkat Windows yang didukung. Pembaruan ini menyertakan mitigasi untuk CVE-2023-24932 tetapi tidak diaktifkan secara default. Semua perangkat Windows harus menyelesaikan langkah ini terlepas dari rencana Anda untuk mengaktifkan mitigasi.

Untuk menyebarkan pembaruan dan menerapkan pencabutan, ikuti langkah-langkah ini:

1. Instal definisi sertifikat yang diperbarui ke DB.

   Langkah ini akan menambahkan sertifikat "Windows UEFI CA 2023" ke UEFI "Secure Boot Signature Database" (DB). Dengan menambahkan sertifikat ini ke DB, firmware perangkat akan mempercayai aplikasi boot yang ditandatangani oleh sertifikat ini.

   1. Buka prompt perintah Administrator dan atur regkey untuk melakukan pembaruan ke DB dengan memasukkan perintah berikut:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      PENTING Pastikan untuk memulai ulang perangkat dua kali untuk menyelesaikan penginstalan pembaruan sebelum melanjutkan ke Langkah 2 dan 3.

   2. Jalankan perintah PowerShell berikut ini sebagai Administrator dan verifikasi bahwa DB telah berhasil diperbarui. Perintah ini akan mengembalikan True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Perbarui Boot Manager di perangkat Anda.

   Langkah ini akan menginstal aplikasi boot manager di perangkat Anda yang ditandatangani dengan sertifikat "'Windows UEFI CA 2023".

   1. Buka prompt perintah Administrator dan atur regkey untuk menginstal manajer boot bertanda tangan "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Hidupkan ulang perangkat dua kali.

   3. Sebagai Administrator, pasang partisi EFI agar siap untuk diperiksa:

      mountvol s: /s

   4. Validasi bahwa file "s:\efi\microsoft\boot\bootmgfw.efi" ditandatangani oleh sertifikat "Windows UEFI CA 2023". Untuk melakukannya, ikuti langkah-langkah ini:

      1. Klik Mulai, ketikkan prompt perintah dalam kotak Pencarian , lalu klik Prompt Perintah.

      2. Di jendela Prompt Perintah , ketikkan perintah berikut, lalu tekan Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Di Manajer File, klik kanan file C:\bootmgfw_2023.efi, klik Properti, lalu pilih tab Tanda Tangan Digital .

      4. Dalam daftar Tanda Tangan, konfirmasi bahwa rantai sertifikat menyertakan Windows UEFI CA 2023. Rantai sertifikat harus cocok dengan cuplikan layar berikut:
         
         

3. Aktifkan pembatalan.

   Daftar Terlarang UEFI (DBX) digunakan untuk memblokir modul UEFI yang tidak tepercaya agar tidak dimuat. Dalam langkah ini, memperbarui DBX akan menambahkan sertifikat "Windows Production CA 2011" ke DBX. Ini akan menyebabkan semua manajer boot yang ditandatangani oleh sertifikat ini tidak lagi tepercaya.

   PERINGATAN: Sebelum menerapkan mitigasi ketiga, buat flash drive pemulihan yang dapat digunakan untuk boot sistem. Untuk informasi tentang cara melakukan ini, lihat bagian Memperbarui media penginstalan Windows.

   Jika sistem Anda masuk ke status yang tidak dapat di-boot, ikuti langkah-langkah di bagian Prosedur pemulihan untuk mereset perangkat ke status pra-pencabutan.

   1. Tambahkan sertifikat "Windows Production PCA 2011" ke Daftar Terlarang Secure Boot UEFI (DBX). Untuk melakukan ini, buka jendela Prompt Perintah sebagai Administrator, ketikkan perintah berikut, lalu tekan Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Hidupkan ulang perangkat dua kali dan konfirmasi bahwa perangkat telah dimulai ulang sepenuhnya.

   3. Verifikasi penginstalan dan daftar pembatalan berhasil diterapkan dengan mencari kejadian 1037 dalam log kejadian.
      
      Untuk informasi tentang Kejadian 1037, lihat KB5016061: Kejadian pembaruan variabel DB Boot Aman dan DBX. Atau, jalankan perintah PowerShell berikut ini sebagai Administrator dan pastikan mengembalikan True:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011' 

4. Terapkan pembaruan SVN ke firmware.
   
   Boot Manager yang digunakan di Langkah 2 memiliki fitur pencabutan mandiri baru bawaan. Ketika Boot Manager mulai berjalan, Boot Manager melakukan pemeriksaan mandiri dengan membandingkan Nomor Versi Aman (SVN) yang disimpan di firmware, dengan SVN bawaan Boot Manager. Jika Boot Manager SVN lebih rendah dari SVN yang disimpan di firmware, Boot Manager akan menolak untuk dijalankan. Fitur ini mencegah penyerang mengembalikan Boot Manager ke versi lama yang tidak diperbarui.
   
   Dalam pembaruan mendatang, ketika masalah keamanan signifikan diperbaiki di Boot Manager, nomor SVN akan ditambahkan di Boot Manager dan pembaruan ke firmware. Kedua pembaruan akan dirilis dalam pembaruan kumulatif yang sama untuk memastikan bahwa perangkat yang ditambal dilindungi. Setiap kali SVN diperbarui, setiap media yang dapat di-boot harus diperbarui.
   
   Mulai 9 Juli 2024, pembaruan, SVN akan ditambahkan di Boot Manager dan pembaruan firmware. Pembaruan firmware bersifat opsional dan dapat diterapkan dengan mengikuti langkah-langkah berikut:

   1. Buka prompt perintah Administrator dan jalankan perintah berikut untuk menginstal manajer boot bertanda tangan "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Hidupkan ulang perangkat dua kali.

Media yang dapat di-boot

Penting untuk memperbarui media yang dapat di-boot setelah Fase Penyebaran dimulai di lingkungan Anda.

Panduan untuk memperbarui media yang dapat di-boot akan hadir dengan pembaruan yang akan datang untuk artikel ini. Lihat bagian berikutnya untuk membuat drive JEMPOL USB untuk memulihkan perangkat.

Memperbarui media penginstalan Windows

Anda dapat menggunakan aplikasi Create Recovery Drive dengan mengikuti langkah-langkah berikut. Media ini dapat digunakan untuk menginstal ulang perangkat jika terjadi masalah besar seperti kegagalan perangkat keras, Anda akan dapat menggunakan drive pemulihan untuk menginstal ulang Windows.

1. Masuk ke perangkat tempat pembaruan 9 Juli 2024 dan langkah mitigasi pertama (memperbarui Secure Boot DB) telah diterapkan.

2. Dari menu Mulai , cari applet panel kontrol "Buat Drive Pemulihan" dan ikuti instruksi untuk membuat drive pemulihan.

3. Dengan flash drive yang baru dibuat terpasang (misalnya, sebagai drive "D:"), jalankan perintah berikut sebagai administrator. Ketik setiap perintah berikut, lalu tekan Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Jika Anda mengelola media yang dapat diinstal di lingkungan Anda dengan menggunakan media penginstalan Pembaruan Windows dengan panduan Pembaruan Dinamis , ikuti langkah-langkah ini. Langkah-langkah tambahan ini akan membuat flash drive bootable yang menggunakan file boot yang ditandatangani oleh sertifikat penandatanganan "Windows UEFI CA 2023".

1. Masuk ke perangkat tempat 9 Juli 2024, pembaruan dan langkah mitigasi pertama (memperbarui Secure Boot DB) telah diterapkan.

2. Ikuti langkah-langkah dalam tautan di bawah ini untuk membuat media dengan pembaruan 9 Juli 2024. Perbarui media penginstalan Windows dengan Dynamic Update

3. Letakkan konten media di drive jempol USB dan pasang drive ibu jari sebagai huruf drive. Misalnya, pasang thumb drive sebagai "D:".

4. Jalankan perintah berikut dari jendela perintah sebagai administrator. Ketik setiap perintah berikut ini, lalu tekan Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Jika perangkat memiliki pengaturan Boot Aman yang diatur ulang ke default setelah menerapkan mitigasi, perangkat tidak akan boot. Untuk mengatasi masalah ini, aplikasi perbaikan disertakan dengan pembaruan 9 Juli 2024 yang dapat digunakan untuk menerapkan kembali sertifikat "Windows UEFI CA 2023" ke DB (mitigasi #1).

1. Masuk ke perangkat tempat pembaruan 9 Juli 2024 telah diterapkan.

2. Di jendela perintah, salin aplikasi pemulihan ke flash drive menggunakan perintah berikut (dengan asumsi flash drive adalah drive "D:"). Ketik setiap perintah secara terpisah lalu tekan Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Pada perangkat yang memiliki pengaturan Boot Aman diatur ulang ke default, sisipkan flash drive, hidupkan ulang perangkat dan boot dari flash drive.

Pengaturan waktu pembaruan

Pembaruan dirilis sebagai berikut:

• Penyebaran Awal Fase ini dimulai dengan pembaruan yang dirilis pada 9 Mei 2023, dan menyediakan mitigasi dasar dengan langkah-langkah manual untuk mengaktifkan mitigasi tersebut.

• Penyebaran Kedua Fase ini dimulai dengan pembaruan yang dirilis pada 11 Juli 2023, yang menambahkan langkah-langkah sederhana untuk mengaktifkan mitigasi untuk masalah tersebut.

• Fase Evaluasi Fase ini akan dimulai 9 April 2024, dan akan menambahkan mitigasi pengelola boot tambahan.

• Fase Penyebaran Inilah saatnya kami akan mendorong semua pelanggan untuk mulai menyebarkan mitigasi dan memperbarui media.

• Fase Pemberlakuan Fase Penegakan yang akan membuat mitigasi menjadi permanen. Tanggal untuk fase ini akan diumumkan di kemudian hari.

Catatan Jadwal rilis mungkin direvisi sesuai kebutuhan.

Kesalahan log Kejadian Windows terkait dengan CVE-2023-24932

Entri log Kejadian Windows yang terkait dengan memperbarui DB dan DBX dijelaskan secara mendetail dalam KB5016061: kejadian pembaruan variabel DB boot aman dan DBX.

Kejadian "keberhasilan" terkait penerapan mitigasi tercantum dalam tabel berikut.

Tanya Jawab Umum (FAQ)

Memecahkan masalah boot

Setelah ketiga mitigasi diterapkan, firmware perangkat tidak akan boot menggunakan manajer boot yang ditandatangani oleh Windows Production PCA 2011. Kegagalan boot yang dilaporkan oleh firmware adalah perangkat tertentu. Silakan merujuk ke bagian prosedur Pemulihan .

Prosedur pemulihan

Jika terjadi kesalahan saat menerapkan mitigasi dan Anda tidak dapat memulai perangkat atau Anda perlu memulai dari media eksternal (seperti drive jempol atau boot PXE), cobalah saran berikut:

1. Nonaktifkan Secure Boot.
   
   Prosedur ini berbeda antara produsen dan model perangkat. Masukkan menu BIOS UEFI perangkat Anda dan navigasikan ke pengaturan Boot Aman dan nonaktifkan. Periksa dokumentasi dari produsen perangkat Anda untuk informasi spesifik tentang proses ini. Detail selengkapnya dapat ditemukan dalam Menonaktifkan Secure Boot.

2. Reset tombol Boot Aman ke default pabrik.

   Jika perangkat mendukung pengaturan ulang kunci boot aman ke default pabrik, lakukan tindakan ini sekarang.

   NOTA Beberapa produsen perangkat memiliki opsi "Hapus" dan "Reset" untuk variabel Boot Aman, dalam hal ini "Reset" harus digunakan. Tujuannya adalah untuk mengembalikan variabel Boot Aman ke nilai default produsen.

   Perangkat Anda harus dimulai sekarang tetapi perhatikan bahwa perangkat rentan terhadap malware boot-kit. Pastikan untuk menyelesaikan Langkah 5 dari proses pemulihan ini untuk mengaktifkan kembali Boot Aman.

3. Cobalah untuk memulai Windows dari disk sistem.

   1. Masuk ke Windows.

   2. Jalankan perintah berikut dari prompt perintah Administrator untuk memulihkan file boot dalam partisi boot sistem EFI. Ketik setiap perintah secara terpisah lalu tekan Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Menjalankan BCDBoot mengembalikan "Boot file berhasil dibuat." Setelah pesan ini ditampilkan, hidupkan ulang perangkat kembali ke Windows.

4. Jika Langkah 3 tidak berhasil memulihkan perangkat, instal ulang Windows.

   1. Mulai perangkat dari media pemulihan yang sudah ada.

   2. Lanjutkan untuk menginstal Windows menggunakan media pemulihan.

   3. Masuk ke Windows.

   4. Mulai ulang Windows untuk memverifikasi bahwa perangkat dimulai kembali ke Windows.

5. Aktifkan kembali Boot Aman dan hidupkan ulang perangkat.
   
   Masukkan menu UEFI perangkat dan navigasikan ke pengaturan Boot Aman dan aktifkan. Periksa dokumentasi dari produsen perangkat Anda untuk informasi spesifik tentang proses ini. Informasi selengkapnya dapat ditemukan di bagian "Aktifkan Kembali Boot Aman".

Referensi

• Panduan untuk menyelidiki serangan menggunakan CVE-2022-21894: Kampanye BlackLotus

• Boot Aman

• Aktifkan Boot Aman di perangkat Windows terdaftar

• Untuk kejadian yang dihasilkan saat menerapkan pembaruan DBX, lihat KB5016061: Mengatasi Boot Manager yang rentan dan dicabut.