KB5025885: Slik administrerer du tilbakekallinger av Windows Boot Manager for endringer i sikker oppstart knyttet til CVE-2023-24932

I denne artikkelen

• Oppsummering

  • Utfør handling

  • Innvirkningsomfang

  • Forstå risikoene

  • Kjente problemer

• Retningslinjer for denne versjonen

• Retningslinjer for utbedring av distribusjon

• Medier som kan startes opp

• Oppdaterer windows installeringsmedium

• Tidsberegning for oppdateringer

• Windows-hendelsesloggfeil relatert til CVE-2023-24932

• Vanlige spørsmål

• Feilsøking av oppstartsproblemer

• Gjenopprettingsprosedyre

• Referanser

• Endre logg

Oppsummering

Denne artikkelen beskriver beskyttelsen mot den offentliggjorte sikkerhetsfunksjonen for sikker oppstart som bruker BlackLotus UEFI bootkit sporet av CVE-2023-24932, hvordan du aktiverer begrensninger og veiledning om oppstartbare medier. En bootkit er et skadelig program som er utformet for å laste så tidlig som mulig i en oppstartssekvens for enheter for å kontrollere oppstarten av operativsystemet.

Sikker oppstart anbefales av Microsoft for å lage en sikker og klarert bane fra UEFI (Unified Extensible Firmware Interface) gjennom sekvensen Windows kernel Trusted Boot. Sikker oppstart bidrar til å forhindre bootkit-skadelig programvare i oppstartssekvensen. Deaktivering av sikker oppstart setter en enhet i fare for å bli infisert av bootkit malware. Du må tilbakekalle oppstartsansvarlige for å løse problemet med sikker oppstart som er beskrevet i CVE-2023-24932. Dette kan føre til problemer for enkelte konfigurasjoner for enhetsoppstart.

Begrensninger mot secure boot bypass detaljert i CVE-2023-24932 er inkludert i Windows-sikkerhetsoppdateringene som ble utgitt 9. juli 2024. Disse begrensningene er imidlertid ikke aktivert som standard. Med disse oppdateringene anbefaler vi at du begynner å evaluere disse endringene i miljøet ditt. Den fullstendige tidsplanen er beskrevet i delen Tidsberegning av oppdateringer .

Før du aktiverer disse begrensningene, bør du gå grundig gjennom detaljene i denne artikkelen og avgjøre om du må aktivere begrensningene eller vente på en fremtidig oppdatering fra Microsoft. Hvis du velger å aktivere begrensningene, må du bekrefte at enhetene er oppdaterte og klare, og forstå risikoene som er beskrevet i denne artikkelen. 

Retningslinjer for denne versjonen

Følg disse to trinnene for denne versjonen.

Trinn 1: Installere Windows-sikkerhetsoppdateringen

Installer den månedlige sikkerhetsoppdateringen for Windows som ble utgitt 9. juli 2024, på støttede Windows-enheter. Disse oppdateringene inkluderer begrensninger for CVE-2023-24932, men er ikke aktivert som standard. Alle Windows-enheter bør fullføre dette trinnet uansett om du planlegger å distribuere begrensningene eller ikke.

Trinn 2: Evaluere endringene

Vi oppfordrer deg til å gjøre følgende:

• Forstå de to første begrensningene som tillater oppdatering av DB for sikker oppstart og oppdatering av oppstartsbehandling.

• Se gjennom den oppdaterte tidsplanen.

• Begynn å teste de to første begrensningene mot representative enheter fra miljøet ditt.

• Begynn planleggingen av distribusjonen.

Trinn 3: Fremtving endringene

Vi oppfordrer deg til å forstå risikoene i delen Forstå risikoene.

• Forstå innvirkningen på gjenoppretting og andre oppstartbare medier.

• Begynn å teste den tredje begrensningen som opphever signeringssertifikatet som brukes for alle tidligere Windows-oppstartsbehandlere.

Retningslinjer for utbedring av distribusjon

Før du følger disse trinnene for å ta i bruk begrensningene, må du installere den månedlige serviceoppdateringen for Windows som ble utgitt 9. juli 2024, på støttede Windows-enheter. Denne oppdateringen inkluderer begrensninger for CVE-2023-24932, men de er ikke aktivert som standard. Alle Windows-enheter bør fullføre dette trinnet uavhengig av planen din for å aktivere begrensningene.

Følg disse trinnene for å distribuere oppdateringen og bruke tilbakekallingene:

1. Installer de oppdaterte sertifikatdefinisjonene i databasen.

   Dette trinnet legger til sertifikatet "Windows UEFI CA 2023" i UEFI "Secure Boot Signature Database" (DB). Ved å legge til dette sertifikatet i databasen klarerer fastvaren oppstartsprogrammer som er signert av dette sertifikatet.

   1. Åpne en ledetekst for administrator, og angi regkeyen for å utføre oppdateringen til DB ved å skrive inn følgende kommando:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      VIKTIG Pass på å starte enheten på nytt to ganger for å fullføre installasjonen av oppdateringen før du fortsetter til trinn 2 og 3.

   2. Kjør følgende PowerShell-kommando som administrator, og kontroller at databasen er oppdatert. Denne kommandoen skal returnere Sann.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Oppdater Oppstartsbehandling på enheten.

   Dette trinnet installerer et oppstartsbehandlingsprogram på enheten som er signert med sertifikatet «Windows UEFI CA 2023».

   1. Åpne en ledetekst for administrator, og angi regkeyen for å installere den signerte oppstartsbehandlingen for Windows UEFI CA 2023:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Start enheten på nytt to ganger.

   3. Som administrator monterer du EFI-partisjonen for å gjøre den klar til inspeksjon:

      mountvol s: /s

   4. Valider at «s:\efi\microsoft\boot\bootmgfw.efi»-filen er signert av sertifikatet «Windows UEFI CA 2023». For å gjøre dette, følger du disse trinnene:

      1. Klikk Start, skriv inn ledeteksten i søkeboksen , og klikk deretter Ledetekst.

      2. Skriv inn følgende kommando i ledetekstvinduet , og trykk deretter ENTER:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Høyreklikk filen C:\bootmgfw_2023.efi i Filbehandling, klikk Egenskaper, og velg deretter fanen Digitale signaturer .

      4. Bekreft at sertifikatkjeden inkluderer Windows UEFI CA 2023 i signaturlisten. Sertifikatkjeden skal samsvare med følgende skjermbilde:
         
         

3. Aktiver tilbakekallingen.

   UEFI Forbidden List (DBX) brukes til å blokkere ikke-klarerte UEFI-moduler fra innlasting. I dette trinnet legger oppdatering av DBX sertifikatet «Windows Production CA 2011» til DBX. Dette vil føre til at alle oppstartsbehandlere som er signert av dette sertifikatet, ikke lenger klareres.

   ADVARSEL: Før du bruker den tredje begrensningen, må du opprette en flash-enhet for gjenoppretting som kan brukes til å starte systemet. Hvis du vil ha informasjon om hvordan du gjør dette, kan du se delen Oppdatere Windows installer medier.

   Hvis systemet havner i en tilstand som ikke kan startes, følger du fremgangsmåten i delen for gjenopprettingsprosedyren for å tilbakestille enheten til en tilstand før tilbakekalling.

   1. Legg til sertifikatet «Windows Production PCA 2011» i UEFI Forbidden List (DBX) for sikker oppstart. Dette gjør du ved å åpne et ledetekstvindu som administrator, skrive inn følgende kommando og deretter trykke ENTER:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Start enheten på nytt to ganger , og bekreft at den er startet på nytt.

   3. Kontroller at listen over installasjoner og tilbakekalling ble brukt ved å se etter hendelse 1037 i hendelsesloggen.
      
      Hvis du vil ha informasjon om hendelse 1037, kan du se KB5016061: Oppdateringshendelser for sikker oppstart og DBX-variabel. Du kan også kjøre følgende PowerShell-kommando som administrator og kontrollere at den returnerer Sann:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).byte) – samsvarer med «Microsoft Windows Production PCA 2011» 

4. Bruk SVN-oppdateringen på fastvaren.
   
   Oppstartsbehandlingen som er distribuert i trinn 2, har innebygd en ny funksjon for selvopphevelse. Når Oppstartsbehandling begynner å kjøre, utføres en selvkontroll ved å sammenligne SVN (Secure Version Number) som er lagret i fastvaren, med SVN innebygd i Oppstartsbehandling. Hvis Boot Manager SVN er lavere enn SVN-en som er lagret i fastvaren, vil Boot Manager nekte å kjøre. Denne funksjonen hindrer en angriper i å rulle tilbake Oppstartsbehandling til en eldre, ikke oppdatert versjon.
   
   I fremtidige oppdateringer, når et betydelig sikkerhetsproblem er løst i Oppstartsbehandling, økes SVN-nummeret i både Boot Manager og oppdateringen til fastvaren. Begge oppdateringene vil bli utgitt i den samme kumulative oppdateringen for å sikre at oppdaterte enheter er beskyttet. Hver gang SVN oppdateres, må alle oppstartbare medier oppdateres.
   
   Fra og med 9. juli 2024, oppdateringer, økes SVN i Oppstartsbehandling og oppdateringen til fastvaren. Fastvareoppdateringen er valgfri og kan brukes ved å følge disse trinnene:

   1. Åpne en ledetekst for administrator, og kjør følgende kommando for å installere den signerte oppstartsbehandlingen for Windows UEFI CA 2023:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Start enheten på nytt to ganger.

Medier som kan startes opp

Det vil være viktig å oppdatere oppstartbare medier når distribusjonsfasen begynner i miljøet.

Veiledning for oppdatering av oppstartbare medier kommer med fremtidige oppdateringer av denne artikkelen. Se neste del for å opprette en USB-minnepinne for å gjenopprette en enhet.

Oppdaterer windows installeringsmedium

Du kan bruke programmet Opprett gjenopprettingsstasjon ved å følge disse trinnene. Dette mediet kan brukes til å installere en enhet på nytt i tilfelle det er et stort problem, for eksempel en maskinvarefeil, vil du kunne bruke gjenopprettingsstasjonen til å installere Windows på nytt.

1. Gå til en enhet der oppdateringene for 9. juli 2024 og det første avbøtingstrinnet (oppdatering av DB for sikker oppstart) er brukt.

2. Søk etter Kontrollpanel-appleten «Opprett en gjenopprettingsstasjon» på Start-menyen , og følg instruksjonene for å opprette en gjenopprettingsstasjon.

3. Med den nyopprettede flash-stasjonen montert (for eksempel som stasjon «D:»), kjører du følgende kommandoer som administrator. Skriv inn hver av følgende kommandoer, og trykk deretter ENTER:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Hvis du administrerer installerbare medier i miljøet ditt ved hjelp av Update Windows-installasjonsmediet med dynamic update-veiledning , følger du disse trinnene. Disse ekstra trinnene oppretter en oppstartbar flash-enhet som bruker oppstartsfiler signert av signeringssertifikatet windows UEFI CA 2023.

1. Gå til en enhet der oppdateringene for 9. juli 2024, og det første avbøtingstrinnet (oppdatering av DB for sikker oppstart) er brukt.

2. Følg trinnene i koblingen nedenfor for å opprette medier med oppdateringene 9. juli 2024. Oppdatere Windows-installasjonsmedier med dynamisk oppdatering

3. Plasser innholdet i mediene på en USB-minnepinne, og sett på minnepinnen som en stasjonsbokstav. Du kan for eksempel montere minnepinnen som «D:».

4. Kjør følgende kommandoer fra et kommandovindu som administrator. Skriv inn hver av følgende kommandoer, og trykk deretter ENTER.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Hvis en enhet har tilbakestilt innstillingene for sikker oppstart til standardinnstillingene etter å ha brukt begrensningene, vil ikke enheten starte. For å løse dette problemet er et reparasjonsprogram inkludert i 9. juli 2024-oppdateringene som kan brukes til å bruke sertifikatet "Windows UEFI CA 2023" på nytt til DB (utbedring nr. 1).

1. Gå til en enhet der oppdateringene for 9. juli 2024 er brukt.

2. Kopier gjenopprettingsappen til flash-enheten i et kommandovindu ved hjelp av følgende kommandoer (forutsatt at flash-enheten er D:-stasjonen). Skriv inn hver kommando separat, og trykk deretter ENTER:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. På enheten som har innstillingene for sikker oppstart tilbakestilt til standardinnstillingene, setter du inn flash-enheten, starter enheten på nytt og starter opp fra flash-enheten.

Tidsberegning for oppdateringer

Oppdateringer utgis på følgende måte:

• Første distribusjon Denne fasen startet med oppdateringer utgitt 9. mai 2023, og ga grunnleggende begrensninger med manuelle trinn for å muliggjøre disse begrensningene.

• Andre distribusjon Denne fasen startet med oppdateringer utgitt 11. juli 2023, som la til forenklede trinn for å aktivere begrensningene for problemet.

• Evalueringsfase Denne fasen starter 9. april 2024, og legger til flere begrensninger for oppstartsbehandling.

• Distribusjonsfase Dette er når vi vil oppfordre alle kunder til å begynne å distribuere begrensninger og oppdatere medier.

• Håndhevelsesfase Håndhevelsesfasen som vil gjøre begrensningene permanente. Datoen for denne fasen vil bli kunngjort på et senere tidspunkt.

Obs!   Lanseringsplanen kan bli revidert etter behov.

Windows-hendelsesloggfeil relatert til CVE-2023-24932

Oppføringer i Windows-hendelsesloggen relatert til oppdatering av DB og DBX beskrives i detalj i KB5016061: Hendelser for sikker oppstart av DB og DBX-variabeloppdatering.

«Vellykkede»-hendelser relatert til bruk av begrensningene, er oppført i tabellen nedenfor.

Vanlige spørsmål

Feilsøking av oppstartsproblemer

Når alle tre begrensningene er brukt, starter ikke fastvaren for enheten ved hjelp av en oppstartsbehandling signert av Windows Production PCA 2011. Oppstartsfeilene som rapporteres av fastvaren, er enhetsspesifikke. Se avsnittet Om gjenopprettingsprosedyre .

Gjenopprettingsprosedyre

Hvis noe går galt under bruk av begrensningene og du ikke kan starte enheten, eller du må starte fra eksterne medier (for eksempel en minnepinne eller PXE-oppstart), kan du prøve følgende forslag:

1. Deaktiver sikker oppstart.
   
   Denne prosedyren er forskjellig mellom enhetsprodusenter og modeller. Skriv inn UEFI BIOS-menyen på enhetene dine, og naviger til innstillingene for sikker oppstart, og slå den av. Se dokumentasjonen fra enhetsprodusenten for detaljer om denne prosessen. Du finner flere detaljer under Deaktivering av sikker oppstart.

2. Tilbakestill sikker oppstart-nøkler til fabrikkstandarder.

   Hvis enheten støtter tilbakestilling av de sikre oppstartsnøklene til fabrikkstandarder, utfører du denne handlingen nå.

   NOTAT Noen enhetsprodusenter har både et «Fjern»- og Tilbakestill-alternativ for variabler for sikker oppstart, og i så fall bør «Tilbakestill» brukes. Målet er å sette variablene for sikker oppstart tilbake til produsentens standardverdier.

   Enheten skal starte nå, men vær oppmerksom på at den er sårbar for oppstartspakke-skadelig programvare. Pass på å fullføre trinn 5 i denne gjenopprettingsprosessen for å aktivere sikker oppstart på nytt.

3. Prøv å starte Windows fra systemdisken.

   1. Logge på Windows.

   2. Kjør følgende kommandoer fra en ledetekst for administrator for å gjenopprette oppstartsfilene i oppstartspartisjonen for EFI-systemet. Skriv inn hver kommando separat, og trykk deretter ENTER:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Kjører BCDBoot returnerer "Oppstartsfiler er opprettet." Når denne meldingen vises, starter du enheten på nytt tilbake til Windows.

4. Hvis trinn 3 ikke gjenoppretter enheten, installerer du Windows på nytt.

   1. Start enheten fra eksisterende gjenopprettingsmedier.

   2. Fortsett å installere Windows ved hjelp av gjenopprettingsmediet.

   3. Logge på Windows.

   4. Start Windows på nytt for å bekrefte at enheten starter tilbake til Windows.

5. Aktiver sikker oppstart på nytt, og start enheten på nytt.
   
   Skriv inn UEFI-menyen for enheten, gå til innstillingene for sikker oppstart og slå den på. Se dokumentasjonen fra enhetsprodusenten for detaljer om denne prosessen. Du finner mer informasjon i delen Aktiver sikker oppstart på nytt.

Referanser

• Veiledning for å undersøke angrep ved hjelp av CVE-2022-21894: BlackLotus-kampanjen

• Sikker oppstart

• Aktiver sikker oppstart på registrerte Windows-enheter

• For hendelser som genereres når du bruker DBX-oppdateringer, kan du se KB5016061: Adressering av sårbare og tilbakekalte oppstartsledere.