KB5025885: Kaip valdyti "Windows" įkrovos tvarkytuvo saugiosios įkrovos keitimų, susietų su CVE-2023-24932, atšaukimus

Šiame straipsnyje

• Suvestinė

  • Imtis veiksmų

  • Poveikio aprėptis

  • Rizikos supratimas

  • Žinomos problemos

• Šio leidimo gairės

• Rizikos mažinimo diegimo gairės

• Paleidžiamos laikmenos

• "Windows" diegimo laikmenos naujinimas

• Naujinimų laikas

• "Windows" įvykių žurnalo klaidos, susijusios su CVE-2023-24932

• Dažnai užduodami klausimai (DUK)

• Įkrovos trikčių diagnostika

• Atkūrimo procedūra

• Nuorodos

• Pakeitimų žurnalas

Suvestinė

Šiame straipsnyje aprašoma apsauga nuo viešai atskleistos saugiosios įkrovos saugos funkcijos apėjimo, kuris naudoja "BlackLotus UEFI" įkrovos rinkinį, sekamą CVE-2023-24932, kaip įgalinti rizikos mažinimą ir nurodymus dėl paleidžiamos laikmenos. Įkrovos rinkinys yra kenkėjiška programa, skirta įkelti kaip įmanoma anksčiau įrenginių paleidimo sekoje, kad būtų galima valdyti operacinės sistemos paleidimą.

"Microsoft" rekomenduoja saugiąją įkrovą padaryti saugiu ir patikimu keliu iš bendrosios išplėstinės programinės-aparatinės įrangos sąsajos (UEFI) per "Windows" branduolio patikimos įkrovos seką. Saugi įkrova padeda išvengti paleidimo rinkinio kenkėjiškų programų paleidimo sekoje. Išjungus saugią paleistį įrenginys gali būti užkrėstas paleidimo rinkinio kenkėjiška programa. Norint išspręsti saugiosios įkrovos apėjimo apėjimo, aprašyto CVE-2023-24932, reikia atšaukti įkrovos tvarkytuvus. Tai gali sukelti problemų dėl kai kurių įrenginio įkrovos konfigūracijų.

Rizikos mažinimai dėl saugiosios įkrovos apėjimo, išsamiai cve-2023-24932 yra įtraukti į "Windows" saugos naujinimus, kurie buvo išleisti 2024 m. liepos 9 d. arba vėliau. Tačiau šie mažinimai nėra įjungtas pagal numatytuosius parametrus. Su šiais naujinimais rekomenduojame pradėti vertinti šiuos pakeitimus savo aplinkoje. Visas tvarkaraštis aprašytas skyriuje Naujinimų laikas .

Prieš įgalindami šiuos mažinimus, turėtumėte išsamiai peržiūrėti šiame straipsnyje esančią informaciją ir nustatyti, ar turite įjungti rizikos mažinimą arba laukti būsimo naujinimo iš "Microsoft". Jei pasirinksite įgalinti rizikos mažinimą, turite patikrinti, ar jūsų įrenginiai atnaujinti ir paruošti, ir suprasti šiame straipsnyje aprašytą riziką. 

Šio leidimo gairės

Šiame leidime atlikite šiuos du veiksmus.

1 veiksmas: "Windows" saugos naujinimo

diegimas Įdiekite "Windows" mėnesinį saugos naujinimą, išleistą 2024 m. liepos 9 d. arba vėliau palaikomuose "Windows" įrenginiuose. Šie naujinimai apima rizikos mažinimą CVE-2023-24932, bet nėra įjungta pagal numatytuosius parametrus. Visi "Windows" įrenginiai turėtų atlikti šį veiksmą, nesvarbu, ar planuojate diegti mažinimus.

2 veiksmas: keitimų

įvertinimas Rekomenduojame atlikti šiuos veiksmus:

• Supraskite pirmuosius du rizikos mažinimus, leidžiančius atnaujinti saugiosios įkrovos DB ir atnaujinti įkrovos tvarkytuvą.

• Peržiūrėkite atnaujintą tvarkaraštį.

• Pradėkite tikrinti pirmąsias dvi rizikos mažinimo priemones pagal tipinius įrenginius iš savo aplinkos.

• Pradėkite planuoti diegimą.

3 veiksmas: įgalinkite keitimus

Raginame jus suprasti riziką, nurodytą skyriuje Apie riziką.

• Supraskite atkūrimo ir kitų paleidžiamų laikmenų poveikį.

• Pradėkite tikrinti trečiąjį rizikos mažinimą, kuris nepatikimas pasirašymo sertifikatu, naudojamu visose ankstesnėse "Windows" įkrovos tvarkytuvuose.

Rizikos mažinimo diegimo gairės

Prieš atlikdami šiuos rizikos mažinimo priemonių taikymo veiksmus, palaikomuose "Windows" įrenginiuose įdiekite "Windows" mėnesinį priežiūros naujinimą, išleistą 2024 m. liepos 9 d. arba vėliau. Šis naujinimas apima rizikos mažinimą CVE-2023-24932, bet jie nėra įjungti pagal numatytuosius parametrus. Visi "Windows" įrenginiai turėtų atlikti šį veiksmą neatsižvelgiant į jūsų planą įgalinti rizikos mažinimą.

Norėdami įdiegti naujinimą ir taikyti atšaukimus, atlikite šiuos veiksmus:

1. Įdiekite atnaujintus sertifikatų aprašus į DB.

   Šis veiksmas įtrauks "Windows UEFI CA 2023" sertifikatą į UEFI "Saugiosios įkrovos parašo duomenų bazė" (DB). Įtraukus šį sertifikatą į DB, įrenginio programinė-aparatinė įranga patikės paleidimo programomis, pasirašytomis šiuo sertifikatu.

   1. Atidarykite administratoriaus komandinę eilutę ir nustatykite regkey atlikti naujinimą į DB įvesdami šią komandą:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      SVARBUS Prieš pereidami prie 2 ir 3 veiksmų, būtinai du kartus iš naujo paleiskite įrenginį, kad užbaigtumėte naujinimo diegimą.

   2. Paleiskite šią "PowerShell" komandą kaip administratorius ir patikrinkite, ar DB buvo sėkmingai atnaujinta. Ši komanda turi grąžinti True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Atnaujinkite įkrovos tvarkytuvą savo įrenginyje.

   Šis veiksmas įdiegs įkrovos tvarkytuvo programą jūsų įrenginyje, kuris yra pasirašytas "Windows UEFI CA 2023" sertifikatu.

   1. Atidarykite administratoriaus komandinę eilutę ir nustatykite regkey, kad įdiegtumėte "Windows UEFI CA 2023" pasirašytą įkrovos tvarkytuvą:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Iš naujo paleiskite įrenginį du kartus.

   3. Kaip administratorius, prijunkite EFI skaidinį, kad jis būtų paruoštas patikrinti:

      mountvol s: /s

   4. Patikrinkite, ar failas "s:\efi\microsoft\boot\boot\bootmgfw.efi" yra pasirašytas "Windows UEFI CA 2023" sertifikatu. Norėdami tai padaryti, atlikite šiuos veiksmus:

      1. Spustelėkite Pradėti, įveskite komandinė eilutė lauke Ieška , tada spustelėkite Komandinė eilutė.

      2. Lange Komandinė eilutė įveskite šią komandą ir paspauskite klavišą "Enter":

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Failų tvarkytuve dešiniuoju pelės mygtuku spustelėkite failą C:\bootmgfw_2023.efi, spustelėkite Ypatybės, tada pasirinkite skirtuką Skaitmeniniai parašai .

      4. Sąraše Parašas patvirtinkite, kad sertifikatų grandinėje yra "Windows UEFI CA 2023". Sertifikatų grandinė turi atitikti šią ekrano nuotrauką:
         
         

3. Įgalinti atšaukimą.

   UEFI draudžiamų naudoti sąrašas (DBX) naudojamas nepatikimiems UEFI moduliams blokuoti. Atliekant šį veiksmą, atnaujinant DBX bus įtraukti "Windows gamybos CA 2011" sertifikatą į DBX. Dėl to visi šiuo sertifikatu pasirašyti paleidimo vadovai nebebus patikimi.

   ĮSPĖJIMAS: prieš taikydami trečiąjį rizikos mažinimą, sukurkite atkūrimo "flash" atmintinę, kurią galima naudoti norint paleisti sistemą. Informacijos, kaip tai padaryti, ieškokite skyriuje "Windows" diegimo laikmenos naujinimas.

   Jei jūsų sistema tampa nepakrauta, atlikite veiksmus, nurodytus skyriuje Atkūrimo procedūra, kad iš naujo nustatytumėte įrenginio išankstinio atšaukimo būseną.

   1. Įtraukite "Windows Production PCA 2011" sertifikatą į saugiosios įkrovos UEFI draudžiamų įrankių sąrašą (DBX). Norėdami tai padaryti, atidarykite komandinės eilutės langus kaip administratorius, įveskite šią komandą ir paspauskite Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Paleiskite įrenginį iš naujo du kartus ir įsitikinkite, kad jis buvo visiškai paleistas iš naujo.

   3. Patikrinkite, ar diegimo ir atšaukimo sąrašas sėkmingai pritaikytas įvykių žurnale ieškant įvykio 1037.
      
      Informacijos apie 1037 įvykį žr. KB5016061: Saugiosios įkrovos DB ir DBX kintamojo naujinimo įvykiai. Arba paleiskite šią "PowerShell" komandą kaip administratorius ir įsitikinkite, kad ji pateikia true:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) - atitinka "Microsoft Windows Production PCA 2011" 

4. Įdiekite SVN naujinimą programinei-aparatinei įrangai.
   
   Įkrovos tvarkytuve, įdiegtame atliekant 2 veiksmą, yra integruota nauja savarankiško atšaukimo funkcija. Paleidus įkrovos tvarkytuvą, jis atlieka savarankišką patikrą palygindamas saugios versijos numerį (SVN), kuris saugomas programinėje-aparatinėje įrangoje, su SVN, integruotu į įkrovos tvarkytuvą. Jei įkrovos tvarkytuvo SVN yra mažesnis už SVN, saugomą programinėje-aparatinėje įrangoje, įkrovos tvarkytuvas atsisakys veikti. Ši funkcija neleidžia pažeidėjui grąžinti paleidimo tvarkytuvo į senesnę, neatnaujintą versiją.
   
   Būsimuose naujinimuose, kai įkrovos tvarkytuve išspręsta didelė saugos problema, SVN numeris bus padidintas paleidimo tvarkytuve ir programinės-aparatinės įrangos naujinime. Abu naujinimai bus išleisti tame pačiame kaupiamajame naujinime, siekiant užtikrinti, kad pataisyti įrenginiai būtų apsaugoti. Kiekvieną kartą atnaujinus SVN, reikės atnaujinti bet kokią paleidžiamą laikmeną.
   
   Nuo 2024 m. liepos 9 d. naujinimai, SVN yra padidintas įkrovos tvarkytuve ir programinės-aparatinės įrangos naujinimas. Programinės-aparatinės įrangos naujinimas yra pasirinktinis ir gali būti taikomas atliekant šiuos veiksmus:

   1. Atidarykite administratoriaus komandinę eilutę ir vykdykite šią komandą, kad įdiegtumėte "Windows UEFI CA 2023" pasirašytą įkrovos tvarkytuvą:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Iš naujo paleiskite įrenginį du kartus.

Paleidžiamos laikmenos

Kai diegimo etapas prasidės jūsų aplinkoje, bus svarbu atnaujinti paleidžiamą laikmeną.

Įkraunančios laikmenos naujinimo rekomendacijos bus pateiktos būsimuose šio straipsnio naujinimuose. Norėdami atkurti įrenginį, žr. kitą skyrių, kad sukurtumėte USB atmintinę.

"Windows" diegimo laikmenos naujinimas

Galite naudoti atkūrimo disko kūrimo programą atlikdami toliau nurodytus veiksmus. Šią laikmeną galima naudoti norint iš naujo įdiegti įrenginį, jei yra didelė problema, pvz., aparatūros triktis, naudodami atkūrimo diską galėsite iš naujo įdiegti "Windows".

1. Eikite į įrenginį, kuriame buvo pritaikyti 2024 m. liepos 9 d. naujinimai ir pirmasis rizikos mažinimo veiksmas (saugiosios įkrovos DB naujinimas).

2. Pradžios meniu ieškokite valdymo skydo programėlės "Atkūrimo disko kūrimas" ir vykdykite nurodymus, kad sukurtumėte atkūrimo diską.

3. Naujai sukurtą "flash" atmintinę pritaisę (pvz., kaip atmintinę "D:"), paleiskite šias komandas kaip administratorius. Įveskite kiekvieną iš toliau nurodytų komandų ir paspauskite klavišą "Enter":

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Jei savo aplinkoje valdote diegiamą mediją naudodami "Windows" diegimo laikmenos naujinimą su dinaminiu naujinimu , atlikite toliau nurodytus veiksmus. Šie papildomi veiksmai sukurs įkrovos "flash" atmintinę, kuri naudoja įkrovos failus, pasirašytus "Windows UEFI CA 2023" pasirašymo sertifikatu.

1. Eikite į įrenginį, kuriame buvo pritaikytas 2024 m. liepos 9 d. naujinimas ir pirmasis rizikos mažinimo veiksmas (saugiosios įkrovos DB naujinimas).

2. Atlikite toliau pateiktame saite nurodytus veiksmus, kad sukurtumėte mediją su 2024 m. liepos 9 d. naujinimais. "Windows" diegimo laikmenos naujinimas naudojant dinaminį naujinimą

3. Įdėkite laikmenos turinį į USB atmintinę ir prijunkite atmintinę kaip disko raidę. Pavyzdžiui, prijunkite atmintinę kaip "D:".

4. Vykdykite šias komandas iš komandų lango administratoriaus teisėmis. Įveskite kiekvieną iš toliau nurodytų komandų ir paspauskite klavišą "Enter".

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Jei pritaikius rizikos mažinimo priemones įrenginio saugiosios įkrovos parametrai atkuriami į numatytuosius, įrenginys nebus įkraunamas. Norėdami išspręsti šią problemą, taisymo programa yra įtraukta į 2024 m. liepos 9 d. naujinimus, kurie gali būti naudojami iš naujo taikyti "Windows UEFI CA 2023" sertifikatą DB (mažinimas #1).

1. Eikite į įrenginį, kuriame buvo pritaikyti 2024 m. liepos 9 d. naujinimai.

2. Komandos lange nukopijuokite atkūrimo programėlę į "flash" atmintinę naudodami šias komandas (jei "flash" atmintinė yra "D:" diskas). Kiekvieną komandą įveskite atskirai ir paspauskite klavišą "Enter":

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Įrenginyje, kuriame yra saugiosios įkrovos parametrų numatytieji parametrai, įdėkite "flash" atmintinę, iš naujo paleiskite įrenginį ir paleiskite iš "flash" atmintinės.

Naujinimų laikas

Naujinimai išleidžiami taip:

• Pradinis diegimas Šis etapas pradėtas su naujinimais, išleistais 2023 m. gegužės 9 d., ir pateikė pagrindines rizikos mažinimo priemones rankiniu būdu, kad įgalintumėte šias priemones.

• Antras diegimas Šis etapas pradėtas nuo 2023 m. liepos 11 d. išleistų naujinimų, kurie įtraukė supaprastintus veiksmus, kad būtų galima įgalinti problemos mažinimą.

• Vertinimo etapas Šis etapas prasidės 2024 m. balandžio 9 d. ir įtrauks papildomų įkrovos tvarkytuvo mažinimų.

• Visuotinio diegimo etapas Taip nutinka, kai paskatinsime visus klientus pradėti diegti rizikos mažinimus ir atnaujinti mediją.

• Vykdymo etapas Vykdymo etapas, dėl kurio mažinimai bus nuolatiniai. Šio etapo data bus paskelbta vėliau.

Pastaba Prireikus išleidimo tvarkaraštis gali būti persvarstytas.

"Windows" įvykių žurnalo klaidos, susijusios su CVE-2023-24932

"Windows" įvykių žurnalo įrašai, susiję su DB ir DBX naujinimu, išsamiai aprašyti KB5016061: saugiosios įkrovos DB ir DBX kintamojo naujinimo įvykiai.

"Sėkmės" įvykiai, susiję su rizikos mažinimų pritaikymu, išvardyti šioje lentelėje.

Dažnai užduodami klausimai (DUK)

Įkrovos trikčių diagnostika

Pritaikius visus tris rizikos mažinimus, įrenginio programinė-aparatinė įranga nebus įkraunama naudojant įkrovos tvarkytuvą, pasirašytą "Windows Production PCA 2011". Programinės-aparatinės įrangos praneštos įkrovos triktys yra susijusios su konkrečiu įrenginiu. Žr. skyrių Atkūrimo procedūra .

Atkūrimo procedūra

Jei taikant rizikos mažinimą kažkas nepavyksta ir negalite paleisti įrenginio arba jums reikia paleisti iš išorinės laikmenos (pvz., atmintinės arba PXE įkrovos), išbandykite šiuos pasiūlymus:

1. Išjunkite saugią įkrovą.
   
   Ši procedūra skiriasi įrenginių gamintojais ir modeliais. Įveskite savo įrenginių UEFI BIOS meniu ir pereikite prie saugiosios įkrovos parametrų ir jį išjunkite. Informacijos apie šį procesą ieškokite įrenginio gamintojo dokumentuose. Daugiau informacijos galima rasti saugiosios įkrovos išjungimas.

2. Iš naujo nustatykite saugiosios įkrovos kodus į gamyklinius numatytuosius parametrus.

   Jei įrenginys palaiko saugiosios įkrovos kodų gamyklinių parametrų nustatymą iš naujo, atlikite šį veiksmą dabar.

   NATA Kai kurie įrenginių gamintojai apsaugotos įkrovos kintamiesiems turi parinktį "Valyti" ir "Nustatyti iš naujo", tokiu atveju reikėtų naudoti parinktį "Nustatyti iš naujo". Tikslas – grąžinti saugiosios įkrovos kintamuosius gamintojams numatytąsias reikšmes.

   Jūsų įrenginys turėtų būti paleistas dabar, bet atkreipkite dėmesį, kad jis pažeidžiamas įkrovos rinkinio kenkėjiškų programų. Būtinai atlikite šio atkūrimo proceso 5 veiksmą, kad vėl įjungtumėte saugią įkrovą.

3. Pabandykite paleisti "Windows" sistemos diske.

   1. Prisijungimas prie Windows.

   2. Vykdykite šias administratoriaus komandinės eilutės komandas, kad atkurtumėte įkrovos failus EFI sistemos įkrovos skaidinyje. Kiekvieną komandą įveskite atskirai ir paspauskite klavišą "Enter":

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Paleidus "BCDBoot" grąžinama "Paleidimo failai sėkmingai sukurti". Kai bus parodytas šis pranešimas, iš naujo paleiskite įrenginį atgal į "Windows".

4. Jei atlikus 3 veiksmą nepavyksta sėkmingai atkurti įrenginio, iš naujo įdiekite "Windows".

   1. Paleiskite įrenginį iš esamos atkūrimo laikmenos.

   2. Pereikite prie "Windows" diegimo naudodami atkūrimo laikmeną.

   3. Prisijungimas prie Windows.

   4. Iš naujo paleiskite "Windows", kad įsitikintumėte, jog įrenginys vėl paleidžiamas sistemoje "Windows".

5. Iš naujo įjunkite saugiąją įkrovą ir iš naujo paleiskite įrenginį.
   
   Įveskite įrenginio UEFI meniu ir pereikite prie saugiosios įkrovos parametrų ir jį įjunkite. Informacijos apie šį procesą ieškokite įrenginio gamintojo dokumentuose. Daugiau informacijos galima rasti skyriuje "Iš naujo įgalinti saugiąją įkrovą".

Nuorodos

• Rekomendacijos, kaip tirti atakas naudojant CVE-2022-21894: "BlackLotus" kampanija

• Saugi įkrova

• Saugiosios įkrovos įgalinimas užregistruotuose "Windows" įrenginiuose

• Apie įvykius, kurie generuojami taikant DBX naujinimus, žr. KB5016061: Pažeidžiamų ir atšauktų paleidimo tvarkytuvų sprendimas.