KB5025885: Jak zarządzać odwołaniami Menedżera rozruchu systemu Windows w przypadku zmian bezpiecznego rozruchu skojarzonych z CVE-2023-24932

W tym artykule

• Podsumowanie

  • Podejmij działanie

  • Zakres wpływu

  • Opis zagrożeń

  • Znane problemy

• Wskazówki dotyczące tej wersji

• Wskazówki dotyczące wdrażania łagodzenia

• Nośnik rozruchowy

• Aktualizowanie nośnika instalacyjnego systemu Windows

• Chronometraż aktualizacji

• Błędy dziennika zdarzeń systemu Windows związane z OKS-2023-24932

• Często zadawane pytania (często zadawane pytania)

• Rozwiązywanie problemów z rozruchem

• Procedura odzyskiwania

• Informacje pomocnicze

• Dziennik zmian

Podsumowanie

W tym artykule opisano ochronę przed ujawnioną publicznie funkcją zabezpieczeń bezpiecznego rozruchu, która korzysta z zestawu rozruchowego UEFI blacklotus śledzonego przez CVE-2023-24932, jak włączyć środki łagodzące i wskazówki dotyczące nośnika rozruchowego. Bootkit to złośliwy program przeznaczony do jak najszybszego ładowania w sekwencji rozruchu urządzeń w celu sterowania uruchomieniem systemu operacyjnego.

Bezpieczny rozruch jest zalecany przez firmę Microsoft w celu utworzenia bezpiecznej i zaufanej ścieżki z interfejsu Unified Extensible Firmware Interface (UEFI) za pośrednictwem sekwencji zaufanego rozruchu jądra systemu Windows. Bezpieczny rozruch zapobiega występowaniu złośliwego oprogramowania w sekwencji rozruchu. Wyłączenie bezpiecznego rozruchu naraża urządzenie na ryzyko zainfekowania go złośliwym oprogramowaniem typu bootkit. Naprawa obejścia bezpiecznego rozruchu opisanego w cve-2023-24932 wymaga odwoływania menedżerów rozruchu. Może to spowodować problemy w przypadku niektórych konfiguracji rozruchu urządzenia.

Środki łagodzące związane z obejściem bezpiecznego rozruchu opisane w temacie CVE-2023-24932 są zawarte w aktualizacjach zabezpieczeń systemu Windows, które zostały wydane 9 lipca 2024 r. lub później. Jednak te środki łagodzące nie są domyślnie włączone. W przypadku tych aktualizacji zalecamy rozpoczęcie oceny tych zmian w środowisku. Pełny harmonogram jest opisany w sekcji Chronometraż aktualizacji .

Przed włączeniem tych środków łagodzących należy dokładnie zapoznać się ze szczegółami tego artykułu i ustalić, czy należy włączyć środki łagodzące, czy poczekać na przyszłą aktualizację od firmy Microsoft. Jeśli włączysz środki łagodzące, musisz sprawdzić, czy twoje urządzenia są zaktualizowane i gotowe, oraz zrozumieć zagrożenia opisane w tym artykule. 

Wskazówki dotyczące tej wersji

W tej wersji wykonaj te dwie czynności.

Krok 1. Instalowanie aktualizacji

zabezpieczeń systemu Windows Zainstaluj comiesięczną aktualizację zabezpieczeń systemu Windows wydaną 9 lipca 2024 r. lub później na obsługiwanych urządzeniach z systemem Windows. Te aktualizacje obejmują środki łagodzące dla cve-2023-24932, ale domyślnie nie są włączone. Wszystkie urządzenia z systemem Windows powinny wykonać ten krok niezależnie od tego, czy zamierzasz wdrożyć środki łagodzące.

Krok 2. Szacowanie zmian

Zachęcamy do wykonania następujących czynności:

• Poznaj dwa pierwsze środki łagodzące, które umożliwiają zaktualizowanie bazy danych bezpiecznego rozruchu i zaktualizowanie menedżera rozruchu.

• Przejrzyj zaktualizowany harmonogram.

• Rozpocznij testowanie dwóch pierwszych środków zaradczych na reprezentatywnych urządzeniach ze środowiska.

• Rozpocznij planowanie wdrożenia.

Krok 3. Wymuszanie zmian

Zachęcamy do zrozumienia ryzyka przedstawionego w sekcji Opis czynników ryzyka.

• Opis wpływu na odzyskiwanie i inne nośniki rozruchowe.

• Rozpocznij testowanie trzeciego łagodzenia, które nie ufa certyfikatowi podpisywania używanego dla wszystkich poprzednich menedżerów rozruchu systemu Windows.

Wskazówki dotyczące wdrażania łagodzenia

Przed wykonaniem tych czynności w celu zastosowania środków łagodzących zainstaluj comiesięczną aktualizację obsługi systemu Windows wydaną 9 lipca 2024 r. lub później na obsługiwanych urządzeniach z systemem Windows. Ta aktualizacja zawiera środki łagodzące dla cve-2023-24932, ale nie są one domyślnie włączone. Wszystkie urządzenia z systemem Windows powinny wykonać ten krok niezależnie od planu, aby włączyć środki łagodzące.

Aby wdrożyć aktualizację i zastosować odwołania, wykonaj następujące czynności:

1. Zainstaluj zaktualizowane definicje certyfikatów w bazie danych.

   Ten krok spowoduje dodanie certyfikatu "Windows UEFI CA 2023" do uefi "Secure Boot Signature Database" (DB). Dodając ten certyfikat do bazy danych, oprogramowanie układowe urządzenia będzie ufać aplikacjom rozruchowym podpisanym za pomocą tego certyfikatu.

   1. Otwórz wiersz polecenia administratora i ustaw klucz rejestru, aby wykonać aktualizację bazy danych, wprowadzając następujące polecenie:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      WAŻNY Pamiętaj o dwukrotnym ponownym uruchomieniu urządzenia w celu ukończenia instalacji aktualizacji przed przejściem do kroków 2 i 3.

   2. Uruchom następujące polecenie programu PowerShell jako administrator i sprawdź, czy baza danych została pomyślnie zaktualizowana. To polecenie powinno zwrócić wartość Prawda.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Zaktualizuj Menedżera rozruchu na urządzeniu.

   Ten krok spowoduje zainstalowanie na urządzeniu aplikacji Menedżera rozruchu, która jest podpisana certyfikatem "'Windows UEFI CA 2023".

   1. Otwórz wiersz polecenia administratora i ustaw klucz rejestru w celu zainstalowania podpisanego menedżera rozruchu "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Uruchom ponownie urządzenie dwa razy.

   3. Jako administrator zainstaluj partycję EFI, aby przygotować ją do inspekcji:

      mountvol s: /s

   4. Sprawdź, czy plik "s:\efi\microsoft\boot\bootmgfw.efi" jest podpisany certyfikatem "Windows UEFI CA 2023". W tym celu wykonaj następujące czynności:

      1. Kliknij przycisk Start, wpisz wiersz polecenia w polu Wyszukaj , a następnie kliknij pozycję Wiersz polecenia.

      2. W oknie Wiersz polecenia wpisz następujące polecenie, a następnie naciśnij Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. W Menedżerze plików kliknij prawym przyciskiem myszy plik C:\bootmgfw_2023.efi, kliknij pozycję Właściwości, a następnie wybierz kartę Podpisy cyfrowe .

      4. Na liście Podpis upewnij się, że łańcuch certyfikatów zawiera pakiet WINDOWS UEFI CA 2023. Łańcuch certyfikatów powinien być zgodny z następującym zrzutem ekranu:
         
         

3. Włącz odwołanie.

   Lista zabroniona interfejsu UEFI (DBX) służy do blokowania ładowania niezaufanych modułów UEFI. W tym kroku zaktualizowanie rekordu DBX spowoduje dodanie certyfikatu "Windows Production CA 2011" do rekordu DBX. Spowoduje to, że wszyscy menedżerowie rozruchu podpisani za pomocą tego certyfikatu nie będą już zaufani.

   OSTRZEŻENIE: Przed zastosowaniem trzeciego ograniczenia utwórz dysk flash odzyskiwania, którego można użyć do rozruchu systemu. Aby dowiedzieć się, jak to zrobić, zobacz sekcję Aktualizowanie nośnika instalacyjnego systemu Windows.

   Jeśli system przechodzi w stan niestartowy, wykonaj czynności opisane w sekcji Procedura odzyskiwania, aby zresetować urządzenie do stanu sprzed odwołania.

   1. Dodaj certyfikat "Windows Production PCA 2011" do listy zakazanych plików UEFI bezpiecznego rozruchu (DBX). W tym celu otwórz okno wiersza polecenia jako administrator, wpisz następujące polecenie, a następnie naciśnij Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Uruchom ponownie urządzenie dwa razy i upewnij się, że zostało całkowicie ponownie uruchomione.

   3. Sprawdź, czy lista instalacji i odwołań została pomyślnie zastosowana, szukając zdarzenia 1037 w dzienniku zdarzeń.
      
      Aby uzyskać informacje o zdarzeniu 1037, zobacz KB5016061: zdarzenia aktualizacji zmiennych DB bezpiecznego rozruchu i DBX. Ewentualnie uruchom następujące polecenie programu PowerShell jako administrator i upewnij się, że zwraca wartość Prawda:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bajty) — uwzględnij "Microsoft Windows Production PCA 2011" 

4. Zastosuj aktualizację SVN do oprogramowania układowego.
   
   Menedżer rozruchu wdrożony w kroku 2 ma wbudowaną nową funkcję samookażania. Po uruchomieniu Menedżera rozruchu wykonuje on samodzielne sprawdzanie, porównując numer bezpiecznej wersji (SVN), który jest przechowywany w oprogramowaniu układowym, z nazwą SVN wbudowaną w Menedżera rozruchu. Jeśli nazwa SVN Menedżera rozruchu jest niższa niż nazwa SVN przechowywana w oprogramowaniu układowym, Menedżer rozruchu odmówi uruchomienia. Ta funkcja uniemożliwia osobie atakującej przywrócenie Menedżera rozruchu do starszej, nie zaktualizowanej wersji.
   
   W przyszłych aktualizacjach po rozwiązaniu istotnego problemu z zabezpieczeniami w Menedżerze rozruchu numer SVN będzie zwiększany zarówno w Menedżerze rozruchu, jak i w aktualizacji oprogramowania układowego. Obie aktualizacje zostaną wydane w tej samej aktualizacji zbiorczej, aby upewnić się, że poprawione urządzenia są chronione. Za każdym razem, gdy nazwa SVN jest aktualizowana, wszystkie nośniki rozruchowe muszą zostać zaktualizowane.
   
   Począwszy od aktualizacji z 9 lipca 2024 r. nazwa SVN jest zwiększana w Menedżerze rozruchu i aktualizacji oprogramowania układowego. Aktualizacja oprogramowania układowego jest opcjonalna i można ją zastosować, wykonując następujące czynności:

   1. Otwórz wiersz polecenia administratora i uruchom następujące polecenie, aby zainstalować podpisanego menedżera rozruchu "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Uruchom ponownie urządzenie dwa razy.

Nośnik rozruchowy

Po rozpoczęciu fazy wdrażania w środowisku należy zaktualizować nośnik rozruchowy.

Wskazówki dotyczące aktualizowania nośnika rozruchowego są udostępniane w przyszłych aktualizacjach tego artykułu. Zobacz następną sekcję, aby utworzyć dysk USB do odzyskiwania urządzenia.

Aktualizowanie nośnika instalacyjnego systemu Windows

Możesz użyć aplikacji Create Recovery Drive , wykonując poniższe czynności. Za pomocą tego nośnika można ponownie zainstalować urządzenie w przypadku wystąpienia poważnego problemu, takiego jak awaria sprzętu, za pomocą dysku odzyskiwania można ponownie zainstalować system Windows.

1. Przejdź do urządzenia, na którym zostały zastosowane aktualizacje z 9 lipca 2024 r. i pierwszy krok łagodzenia (aktualizacja bazy danych bezpiecznego rozruchu).

2. W menu Start wyszukaj aplet "Utwórz dysk odzyskiwania" w panelu sterowania i postępuj zgodnie z instrukcjami, aby utworzyć dysk odzyskiwania.

3. Po zamontowaniu nowo utworzonego dysku flash (na przykład jako "D:") uruchom następujące polecenia jako administrator. Wpisz każde z następujących poleceń, a następnie naciśnij Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Jeśli zarządzasz nośnikiem instalacyjnym w swoim środowisku przy użyciu nośnika instalacyjnego aktualizacji systemu Windows ze wskazówkami dotyczącymi aktualizacji dynamicznych , wykonaj poniższe czynności. Te dodatkowe kroki umożliwią utworzenie rozruchowego dysku flash korzystającego z plików rozruchowych podpisanych za pomocą certyfikatu podpisywania "Windows UEFI CA 2023".

1. Przejdź do urządzenia, na którym 9 lipca 2024 r. zostały zastosowane aktualizacje i pierwszy krok łagodzenia (aktualizacja bazy danych bezpiecznego rozruchu).

2. Postępuj zgodnie z instrukcjami podanymi w poniższym linku, aby utworzyć multimedia z aktualizacjami z 9 lipca 2024 r. Aktualizowanie nośnika instalacyjnego systemu Windows za pomocą aktualizacji dynamicznej

3. Umieść zawartość nośnika na dysku USB i zamocuj go jako literę dysku. Na przykład zainstaluj dysk miniaturowy jako "D:".

4. Uruchom następujące polecenia z okna polecenia jako administrator. Wpisz każde z następujących poleceń, a następnie naciśnij Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Jeśli urządzenie ma ustawienia bezpiecznego rozruchu zresetowane do ustawień domyślnych po zastosowaniu środków łagodzących, urządzenie nie uruchamia się. Aby rozwiązać ten problem, aplikacja do naprawy jest dołączona do aktualizacji z 9 lipca 2024 r., których można użyć do ponownego zastosowania certyfikatu "Windows UEFI CA 2023" do bazy danych (łagodzenie nr 1).

1. Przejdź do urządzenia, na którym zostały zastosowane aktualizacje z 9 lipca 2024 r.

2. W oknie polecenia skopiuj aplikację odzyskiwania na dysk flash, używając następujących poleceń (zakładając, że dysk flash to "D:"). Wpisz poszczególne polecenia osobno, a następnie naciśnij Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Na urządzeniu z ustawieniami bezpiecznego rozruchu zresetuj ustawienia do stanu domyślnego, włóż dysk flash, uruchom ponownie urządzenie i uruchom je z dysku flash.

Chronometraż aktualizacji

Aktualizacje są udostępniane w następujący sposób:

• Wdrożenie początkowe Ta faza rozpoczęła się od aktualizacji wydanych 9 maja 2023 r. i dostarczyła podstawowe środki łagodzące z ręcznymi krokami w celu włączenia tych środków łagodzących.

• Drugie wdrożenie Ten etap rozpoczął się od aktualizacji wydanych 11 lipca 2023 r., które dodały uproszczone kroki w celu włączenia środków łagodzących problem.

• Faza oceny Ta faza rozpocznie się 9 kwietnia 2024 r. i wprowadzi dodatkowe środki łagodzące dla menedżera rozruchu.

• Faza wdrażania Wtedy będziemy zachęcać wszystkich klientów do rozpoczęcia wdrażania środków łagodzących i aktualizowania nośników.

• Faza wymuszania Faza wymuszania, która spowoduje, że środki łagodzące stałe. Data tego etapu zostanie ogłoszona w późniejszym terminie.

Uwaga Harmonogram wersji może zostać zmieniony w razie potrzeby.

Błędy dziennika zdarzeń systemu Windows związane z OKS-2023-24932

Wpisy dziennika zdarzeń systemu Windows związane z aktualizacją DB i DBX opisano szczegółowo w KB5016061: zdarzeniach aktualizacji zmiennych DB bezpiecznego rozruchu i DBX.

Zdarzenia "sukcesu" związane ze stosowaniem środków łagodzących są wymienione w poniższej tabeli.

Często zadawane pytania (często zadawane pytania)

Rozwiązywanie problemów z rozruchem

Po zastosowaniu wszystkich trzech środków łagodzących oprogramowanie układowe urządzenia nie zostanie uruchomione przy użyciu menedżera rozruchu podpisanego przez windows production PCA 2011. Błędy rozruchu zgłaszane przez oprogramowanie układowe są specyficzne dla urządzenia. Zapoznaj się z sekcją Procedura odzyskiwania .

Procedura odzyskiwania

Jeśli coś pójdzie nie tak podczas stosowania środków łagodzących i nie możesz uruchomić urządzenia lub musisz uruchomić urządzenie z nośnika zewnętrznego (takiego jak dysk usb lub rozruch PXE), wypróbuj następujące sugestie:

1. Wyłącz bezpieczny rozruch.
   
   Ta procedura różni się między producentami i modelami urządzeń. Wprowadź na urządzeniach menu BIOS interfejsu UEFI, przejdź do ustawień bezpiecznego rozruchu i wyłącz je. Aby uzyskać szczegółowe informacje na temat tego procesu, zapoznaj się z dokumentacją producenta urządzenia. Więcej szczegółów można znaleźć w temacie Wyłączanie bezpiecznego rozruchu.

2. Zresetuj domyślne ustawienia kluczy bezpiecznego rozruchu do stanu początkowego.

   Jeśli urządzenie obsługuje resetowanie kluczy bezpiecznego rozruchu do domyślnych ustawień fabrycznych, wykonaj tę akcję teraz.

   NUTA Niektórzy producenci urządzeń mają opcję "Wyczyść" i "Resetuj" dla zmiennych bezpiecznego rozruchu, w którym to przypadku należy użyć opcji "Resetuj". Celem jest przywrócenie wartości domyślnych producentów zmiennych bezpiecznego rozruchu.

   Urządzenie powinno rozpocząć się teraz, ale pamiętaj, że jest ono narażone na złośliwe oprogramowanie z zestawu rozruchowego. Upewnij się, że wykonasz krok 5 tego procesu odzyskiwania, aby ponownie włączyć bezpieczny rozruch.

3. Spróbuj uruchomić system Windows z dysku systemowego.

   1. Logowanie do systemu Windows.

   2. Uruchom następujące polecenia z wiersza polecenia administratora, aby przywrócić pliki rozruchu na partycji rozruchowej systemu EFI. Wpisz poszczególne polecenia osobno, a następnie naciśnij Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Uruchomienie funkcji BCDBoot zwraca wartość "Pomyślnie utworzono pliki rozruchowe". Po wyświetleniu tego komunikatu ponownie uruchom urządzenie do systemu Windows.

4. Jeśli krok 3 nie odzyska urządzenia, ponownie zainstaluj system Windows.

   1. Uruchom urządzenie z istniejącego nośnika odzyskiwania.

   2. Przejdź do instalacji systemu Windows przy użyciu nośnika odzyskiwania.

   3. Logowanie do systemu Windows.

   4. Uruchom ponownie system Windows, aby sprawdzić, czy urządzenie ponownie uruchamia się w systemie Windows.

5. Włącz ponownie bezpieczny rozruch i uruchom ponownie urządzenie.
   
   Wprowadź menu interfejsu UEFI urządzenia i przejdź do ustawień bezpiecznego rozruchu i włącz je. Aby uzyskać szczegółowe informacje na temat tego procesu, zapoznaj się z dokumentacją producenta urządzenia. Więcej informacji można znaleźć w sekcji "Ponowne włączanie bezpiecznego rozruchu".

Informacje pomocnicze

• Wskazówki dotyczące badania ataków przy użyciu CVE-2022-21894: Kampania BlackLotus

• Bezpieczny rozruch

• Włączanie bezpiecznego rozruchu na zarejestrowanych urządzeniach z systemem Windows

• W przypadku zdarzeń generowanych podczas stosowania aktualizacji DBX zobacz KB5016061: Rozwiązywanie problemów z podatnymi na zagrożenia i odwołanymi menedżerami rozruchu.