KB5025885: Ako spravovať zrušenia správcu spustenia systému Windows pre zmeny zabezpečeného spustenia súvisiace s CVE-2023-24932

V tomto článku

• Zhrnutie

  • Vykonať akciu

  • Rozsah vplyvu

  • Pochopenie rizík

  • Známe problémy

• Pokyny pre toto vydanie

• Pokyny na nasadenie zmiernenia

• Spúšťacie médium

• Aktualizácia inštalačného média systému Windows

• Časovanie aktualizácií

• Chyby denníka udalostí systému Windows týkajúce sa CVE-2023-24932

• Najčastejšie otázky

• Riešenie problémov s spustením

• Postup obnovenia

• Referencie

• Denník zmien

Zhrnutie

V tomto článku sa popisuje ochrana pred verejne zverejneným obídením funkcie zabezpečenia zabezpečeného spustenia, ktorá používa súpravu bootkit BlackLotus UEFI sledovanú cve-2023-24932, ako povoliť zmiernenia a pokyny na spúšťateľné médiá. Bootkit je škodlivý program, ktorý je navrhnutý tak, aby sa načítal čo najskôr v sekvencii spúšťania zariadení na ovládanie spustenia operačného systému.

Spoločnosť Microsoft odporúča bezpečné spustenie na vytvorenie bezpečnej a dôveryhodnej cesty z rozhrania Unified Extensible Firmware Interface (UEFI) prostredníctvom sekvencie dôveryhodného spustenia jadra systému Windows. Zabezpečené spustenie pomáha predchádzať malvéru bootkit v postupnosti spúšťania. Zakázanie zabezpečeného spustenia ohrozuje zariadenie infikovaním malvérom Bootkit. Oprava obídenia zabezpečeného spustenia popísaného v CVE-2023-24932 vyžaduje zrušenie správcov spúšťania. To môže spôsobiť problémy pri niektorých konfiguráciách spúšťania zariadenia.

Obmedzenia rizík voči obídenie zabezpečeného spustenia podrobne opísané v CVE-2023-24932 sú zahrnuté v aktualizáciách zabezpečenia systému Windows, ktoré boli vydané 9. júla 2024 alebo po ich vydaní. Tieto obmedzenia rizík však nie sú predvolene povolené. S týmito aktualizáciami odporúčame začať vyhodnocovať tieto zmeny vo vašom prostredí. Úplný plán je popísaný v časti Časovanie aktualizácií .

Pred povolením týchto zmiernení by ste mali dôkladne skontrolovať podrobnosti v tomto článku a zistiť, či je potrebné povoliť obmedzenia rizík alebo čakať na budúcu aktualizáciu od spoločnosti Microsoft. Ak sa rozhodnete povoliť obmedzenia rizík, musíte overiť, či sú vaše zariadenia aktualizované a pripravené, a porozumieť rizikám popísaným v tomto článku. 

Pokyny pre toto vydanie

V tomto vydaní postupujte podľa týchto dvoch krokov.

Krok 1: Inštalácia aktualizácie

zabezpečenia windowsu Nainštalujte mesačnú aktualizáciu zabezpečenia Windowsu vydanú 9. júla 2024 alebo po jej vydaní v podporovaných zariadeniach s Windowsom. Tieto aktualizácie zahŕňajú obmedzenia rizík pre CVE-2023-24932, ale nie sú predvolene povolené. Všetky zariadenia s Windowsom by mali tento krok dokončiť bez ohľadu na to, či plánujete nasadiť obmedzenia rizík.

Krok 2: Vyhodnotenie zmien

Odporúčame vám vykonať nasledujúce kroky:

• Oboznámte sa s prvými dvoma obmedzeniami rizík, ktoré umožňujú aktualizovať databázu zabezpečeného spustenia a aktualizovať správcu spúšťania.

• Skontrolujte aktualizovaný plán.

• Začnite testovať prvé dve obmedzenia rizík voči reprezentatívnym zariadeniam z vášho prostredia.

• Začnite plánovať nasadenie.

Krok 3: Vynútenie zmien

Odporúčame vám pochopiť riziká uvedené v časti Vysvetlenie rizík.

• Oboznámte sa s vplyvom na obnovenie a iné spúšťacie médiá.

• Začnite testovať tretie obmedzenie rizík, ktoré nedôveruje podpisovému certifikátu použitému pre všetkých predchádzajúcich správcov spúšťania systému Windows.

Pokyny na nasadenie zmiernenia

Pred vykonaním týchto krokov na uplatnenie zmiernených rizík nainštalujte aktualizáciu mesačnej údržby Windowsu vydanú 9. júla 2024 alebo po jej skončení v podporovaných zariadeniach s Windowsom. Táto aktualizácia obsahuje obmedzenia rizík pre CVE-2023-24932, ale nie sú predvolene povolené. Všetky zariadenia s Windowsom by mali vykonať tento krok bez ohľadu na váš plán na povolenie zmiernení rizík.

Ak chcete nasadiť aktualizáciu a použiť zrušenia, postupujte podľa týchto krokov:

1. Nainštalujte aktualizované definície certifikátu do databázy.

   Tento krok pridá certifikát Windows UEFI CA 2023 do databázy UEFI Secure Boot Signature Database. Pridaním tohto certifikátu do databázy bude firmvér zariadenia dôverovať zavádzacím aplikáciám podpísaným týmto certifikátom.

   1. Otvorte príkazový riadok správcu a zadaním nasledujúceho príkazu nastavte kľúč databázy Regkey na aktualizáciu databázy:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      DÔLEŽITÝ Skôr než prejdete na kroky 2 a 3, nezabudnite zariadenie reštartovať dvakrát, aby ste dokončili inštaláciu aktualizácie.

   2. Spustite nasledujúci príkaz prostredia PowerShell ako správca a overte, či sa databáza úspešne aktualizovala. Tento príkaz by mal vrátiť hodnotu True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Aktualizujte správcu spustenia v zariadení.

   Tento krok nainštaluje do zariadenia aplikáciu správcu spúšťania, ktorá je podpísaná certifikátom "Windows UEFI CA 2023".

   1. Otvorte príkazový riadok správcu a nastavte kľúč databázy Registry na inštaláciu podpísaného správcu spúšťania "Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Reštartujte zariadenie dvakrát.

   3. Ako správca, pripojiť EFI oddiel, aby ste ho pripravili na kontrolu:

      mountvol s: /s

   4. Overte, či je súbor s:\efi\microsoft\boot\bootmgfw.efi podpísaný certifikátom Windows UEFI CA 2023. Ak to chcete urobiť, postupujte podľa týchto krokov:

      1. Kliknite na tlačidlo Štart, do vyhľadávacieho poľa zadajte príkazový riadok a potom kliknite na príkazový riadok.

      2. V okne príkazového riadka zadajte nasledujúci príkaz a potom stlačte kláves Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. V Správcovi súborov kliknite pravým tlačidlom myši na súbor C:\bootmgfw_2023.efi, kliknite na položku Vlastnosti a potom vyberte kartu Digitálne podpisy .

      4. V zozname podpisov potvrďte, že certifikačný reťazec obsahuje Windows UEFI CA 2023. Certifikačný reťazec by sa mal zhodovať s nasledujúcou snímkou obrazovky:
         
         

3. Povoľte zrušenie.

   Zoznam zakázaných rozhraní UEFI (DBX) sa používa na blokovanie načítania nedôveryhodných modulov UEFI. V tomto kroku aktualizácia DBX pridá certifikát Windows Production CA 2011 do DBX. To spôsobí, že všetci správcovia spustenia podpísaní týmto certifikátom už nebudú dôveryhodní.

   UPOZORNENIE: Pred použitím tretieho zmiernenia vytvorte jednotku flash na obnovenie, ktorú možno použiť na spustenie systému. Informácie o tomto postupe nájdete v časti Aktualizácia médií inštalácie systému Windows.

   Ak sa systém dostane do stavu, ktorý nie je možné spustiť, postupujte podľa krokov v časti Postup obnovenia a obnovte zariadenie do stavu predbežného zrušenia.

   1. Pridajte certifikát Windows Production PCA 2011 do zoznamu zakázaných rozhraní UEFI zabezpečeného spustenia (DBX). Ak to chcete urobiť, otvorte okná príkazového riadka ako správca, zadajte nasledujúci príkaz a stlačte kláves Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Reštartujte zariadenie dvakrát a potvrďte, že sa úplne reštartuje.

   3. Overte, či bol zoznam inštalácie a zrušenia úspešne použitý vyhľadaním udalosti 1037 v denníku udalostí.
      
      Informácie o udalosti 1037 nájdete v téme KB5016061: Secure Boot DB a udalosti aktualizácie premenných DBX. Prípadne spustite nasledujúci príkaz prostredia PowerShell ako správca a uistite sa, že vráti hodnotu True:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match "Microsoft Windows Production PCA 2011" 

4. Použite aktualizáciu SVN na firmvér.
   
   Správca spustenia nasadený v kroku 2 má vstavanú novú funkciu samoobslužného zrušenia. Keď sa spustí Správca spustenia, vykoná sa automatická kontrola porovnaním čísla zabezpečenej verzie (SVN), ktoré je uložené vo firmvéri, s SVN zabudovaným do Správcu spustenia. Ak je SVN správcu spustenia nižší ako SVN uložený vo firmvéri, Správca spustenia sa odmietne spustiť. Táto funkcia zabraňuje útočníkovi vrátiť správcu spustenia na staršiu neaktualizované verzie.
   
   V budúcich aktualizáciách, keď sa v Správcovi spustenia opraví významný problém so zabezpečením, číslo SVN sa zvýši v Správcovi spúšťania aj v aktualizácii firmvéru. Obe aktualizácie budú vydané v rovnakej kumulatívnej aktualizácii, aby sa zabezpečilo, že záplatované zariadenia sú chránené. Pri každej aktualizácii SVN bude potrebné aktualizovať všetky zavádzacie médiá.
   
   Od 9. júla 2024 sa aktualizácie SVN zväčšujú v Správcovi spustenia a aktualizácia firmvéru. Aktualizácia firmvéru je voliteľná a možno ju použiť pomocou týchto krokov:

   1. Otvorte príkazový riadok správcu a spustením nasledujúceho príkazu nainštalujte podpísaného správcu spúšťania "Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Reštartujte zariadenie dvakrát.

Spúšťacie médium

Po začatí fázy nasadenia vo vašom prostredí bude dôležité aktualizovať zavádzacie médiá.

Sprievodný materiál k aktualizácii zavádzacích médií prichádza s budúcimi aktualizáciami tohto článku. V ďalšej časti si môžete vytvoriť USB kľúč na obnovenie zariadenia.

Aktualizácia inštalačného média systému Windows

Pomocou týchto krokov môžete použiť aplikáciu Vytvoriť jednotku na obnovenie . Toto médium možno použiť na preinštalovanie zariadenia v prípade závažného problému, ako je napríklad zlyhanie hardvéru, budete môcť použiť jednotku na obnovenie na preinštalovanie Windowsu.

1. Prejdite do zariadenia, v ktorom boli použité aktualizácie z 9. júla 2024 a prvý krok zmiernenia (aktualizácia databázy zabezpečeného spustenia).

2. V ponuke Štart vyhľadajte aplet ovládacieho panela "Create a Recovery Drive" a postupujte podľa pokynov na vytvorenie jednotky na obnovenie.

3. S novovytvorenou jednotkou flash pripojenou (napríklad ako jednotka D:) spustite nasledujúce príkazy ako správca. Zadajte každý z nasledujúcich príkazov a potom stlačte kláves Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ak spravujete inštalovateľné médiá vo svojom prostredí pomocou inštalačného média aktualizácie Windowsu s pokynmi na dynamickú aktualizáciu , postupujte podľa týchto krokov. Tieto ďalšie kroky vytvoria zavádzaciu flash jednotku, ktorá používa súbory spúšťania podpísané podpisovým certifikátom Windows UEFI CA 2023.

1. Prejdite do zariadenia, v ktorom sa 9. júla 2024 použili aktualizácie a prvý krok zmiernenia (aktualizácia databázy zabezpečeného spustenia).

2. Ak chcete vytvoriť médiá s aktualizáciami z 9. júla 2024, postupujte podľa krokov v prepojení nižšie. Aktualizácia inštalačného média windowsu pomocou dynamickej aktualizácie

3. Umiestnite obsah média na USB kľúč a pripojte usb kľúč ako písmeno jednotky. Napríklad usb kľúč pripojte ako "D:".

4. Spustite nasledujúce príkazy z okna príkazov ako správca. Zadajte každý z nasledujúcich príkazov a stlačte kláves Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ak má zariadenie po použití zmiernení nastavené nastavenia zabezpečeného spustenia nastavené na predvolené hodnoty, zariadenie sa nespusí. Na vyriešenie tohto problému je aplikácia na opravu zahrnutá v aktualizáciách z 9. júla 2024, ktoré možno použiť na opätovné použitie certifikátu Windows UEFI CA 2023 do databázy (zmiernenie č. 1).

1. Prejdite do zariadenia, v ktorom boli použité aktualizácie z 9. júla 2024.

2. V okne príkazu skopírujte aplikáciu na obnovenie na flash disk pomocou nasledujúcich príkazov (za predpokladu, že jednotka flash je jednotka D:). Zadajte jednotlivé príkazy samostatne a potom stlačte kláves Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. V zariadení s nastaveniami zabezpečeného spustenia obnovte predvolené nastavenia, vložte usb kľúč, reštartujte zariadenie a spustite ho z usb kľúča.

Časovanie aktualizácií

Aktualizácie sa vydávajú takto:

• Počiatočné nasadenie Táto fáza sa začala aktualizáciami vydanými 9. mája 2023 a poskytla základné obmedzenia rizík s manuálnymi krokmi na povolenie týchto zmiernení.

• Druhé nasadenie Táto fáza sa začala aktualizáciami vydanými 11. júla 2023, ktoré pridali zjednodušené kroky na povolenie zmierňovania rizík problému.

• Fáza hodnotenia Táto fáza sa začne 9. apríla 2024 a pridá ďalšie obmedzenia rizík správcu spúšťania.

• Fáza nasadenia V tomto prípade odporúčame všetkým zákazníkom, aby začali nasadzovať obmedzenia rizík a aktualizovať médiá.

• Fáza presadzovania Fáza vynútenia, ktorá spôsobí, že zmiernenia budú trvalé. Dátum tejto fázy bude oznámený neskôr.

Poznámka Plán vydania možno podľa potreby revidovať.

Chyby denníka udalostí systému Windows týkajúce sa CVE-2023-24932

Položky denníka udalostí systému Windows súvisiace s aktualizáciou DATABÁZY a DBX sú podrobne popísané v KB5016061: Udalosti aktualizácie databázy zabezpečeného spustenia a aktualizácie premenných DBX.

Udalosti "úspechu" súvisiace s použitím zmiernení sú uvedené v nasledujúcej tabuľke.

Najčastejšie otázky

Riešenie problémov s spustením

Po použití všetkých troch zmiernení sa firmvér zariadenia nespusí pomocou správcu spúšťania podpísaného Windows Production PCA 2011. Zlyhania spustenia nahlásené firmvérom sú špecifické pre zariadenie. Pozrite si časť Postup obnovenia .

Postup obnovenia

Ak sa pri používaní zmiernení vyskytne problém a zariadenie sa nedá spustiť alebo potrebujete spustiť z externých médií (ako je napríklad usb kľúč alebo spustenie systému PXE), vyskúšajte nasledujúce návrhy:

1. Vypnite zabezpečené spustenie.
   
   Tento postup sa líši medzi výrobcami zariadení a modelmi. Zadajte svoje zariadenia UEFI BIOS menu a prejdite na nastavenia zabezpečeného spustenia a vypnite ho. Podrobnosti o tomto procese nájdete v dokumentácii od výrobcu zariadenia. Ďalšie podrobnosti nájdete v téme Zakázanie zabezpečeného spustenia.

2. Obnovte predvolené hodnoty zabezpečeného spustenia.

   Ak zariadenie podporuje resetovanie zabezpečených klávesov na spustenie na továrenské predvolené nastavenia, vykonajte túto akciu teraz.

   NOTA Niektorí výrobcovia zariadení majú ako "Clear" a "Reset" možnosť secure boot premenných, v takom prípade "Reset" by mali byť použité. Cieľom je vrátiť premenné zabezpečeného spustenia na predvolené hodnoty výrobcov.

   Vaše zariadenie by sa malo spustiť teraz, ale majte na pamäti, že je citlivé na malvér boot-kit. Uistite sa, že ste dokončili krok 5 tohto procesu obnovenia, aby ste znova povolili zabezpečené spustenie.

3. Skúste spustiť Systém Windows zo systémového disku.

   1. Prihláste sa do Windowsu.

   2. Spustite nasledujúce príkazy z príkazového riadka správcu a obnovte súbory spúšťania v oblasti spúšťania systému EFI. Zadajte jednotlivé príkazy samostatne a potom stlačte kláves Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Spustenie bcdboot vráti "Boot files successfully created" (Súbory spúšťania sa úspešne vytvorili). Po zobrazení tohto hlásenia reštartujte zariadenie späť do Windowsu.

4. Ak krok 3 úspešne neobnoví zariadenie, preinštalujte Systém Windows.

   1. Spustite zariadenie z existujúceho média na obnovenie.

   2. Pokračujte v inštalácii Windowsu pomocou média na obnovenie.

   3. Prihláste sa do Windowsu.

   4. Reštartujte Windows a overte, či sa zariadenie spustí späť do Windowsu.

5. Znova zapnite zabezpečené spustenie a reštartujte zariadenie.
   
   Zadajte ponuku UEFI zariadenia, prejdite na nastavenia zabezpečeného spustenia a zapnite ju. Podrobnosti o tomto procese nájdete v dokumentácii od výrobcu zariadenia. Ďalšie informácie nájdete v časti Opätovné povolenie zabezpečeného spustenia.

Referencie

• Pokyny na vyšetrovanie útokov pomocou CVE-2022-21894: Kampaň BlackLotus

• Zabezpečené spustenie

• Povolenie zabezpečeného spustenia v zaregistrovaných zariadeniach s Windowsom

• Udalosti, ktoré sa generujú pri použití aktualizácií DBX, nájdete v téme KB5016061: Riešenie zraniteľných a zrušených správcov spúšťania.