KB5025885: Kako da upravljate opozvaima Programa Windows Boot Manager za promene bezbednog pokretanja povezane sa funkcijaMA CVE-2023-24932

U ovom članku

• Rezime

  • Preduzimanje radnje

  • Opseg uticaja

  • Razumevanje rizika

  • Poznati problemi

• Uputstva za ovo izdanje

• Uputstva za umanjivanje primene

• Medijum koji se može pokrenuti

• Ažuriranje medijuma za instalaciju operativnog sistema Windows

• Podešavanje vremena ispravki

• Greške u Windows evidenciji događaja povezane sa CVE-2023-24932

• Najčešća pitanja (najčešća pitanja)

• Rešavanje problema sa pokretanjem

• Procedura oporavka

• Reference

• Evidencija promena

Rezime

Ovaj članak opisuje zaštitu od javno otkrivane bezbednosne funkcije bezbednog pokretanja koja koristi BlackLotus UEFI bootkit koji prati CVE-2023-24932, kako da omogući umanjivanja i uputstva za medije koji se mogu pokrenuti. Bootkit je zlonameran program koji je dizajniran da se učita što je pre moguće u sekvenci pokretanja uređaja kako bi kontrolisao pokretanje operativnog sistema.

Bezbedno pokretanje se preporučuje od korporacije Microsoft da napravi bezbednu i pouzdanu putanju od interfejsa objedinjenog proširivih firmvera (UEFI) putem sekvence pouzdanog pokretanja windows jezgra. Bezbedno pokretanje pomaže u sprečavanju malvera za pokretanje u sekvenci pokretanja. Onemogućavanje bezbednog pokretanja upada uređaja u rizik od infekcije malverom za pokretanje. Popravljanje zaobioska bezbednog pokretanja opisanog u verzijama CVE-2023-24932 zahteva opoziv menadžera pokretanja. To može da dovede do problema u nekim konfiguracijama pokretanja uređaja.

Umanjivanja u odnosu na zaobilaženje bezbednog pokretanja detaljno opisana u verzijama CVE-2023-24932 uključena su u Windows bezbednosne ispravke koje su objavljene 9. jula 2024. ili posle toga. Međutim, ova umanjivanja nisu podrazumevano omogućena. Uz ove ispravke, preporučujemo da počnete da procenjujete ove promene u okruženju. Kompletan raspored je opisan u odeljku Podešavanje vremena ispravki .

Pre nego što omogućite ova umanjivanja, trebalo bi da detaljno pregledate detalje u ovom članku i utvrdite da li morate da omogućite umanjivanja ili da sačekate buduće ažuriranje korporacije Microsoft. Ako odaberete da omogućite umanjivanja, morate da proverite da li su uređaji ažurirani i spremni i da razumete rizike opisane u ovom članku. 

Uputstva za ovo izdanje

Za ovo izdanje pratite ova dva koraka.

1. korak: Instaliranje Windows bezbednosne ispravke

Instalirajte mesečnu bezbednosnu ispravku za Windows objavljenu 9. jula 2024. ili posle toga na podržanim Windows uređajima. Ove ispravke uključuju umanjivanja za CVE-2023-24932, ali podrazumevano nisu omogućene. Svi Windows uređaji trebalo bi da dovrše ovaj korak bez obzira na to da li planirate da primenite umanjivanja.

2. korak: procena promena

Podstičemo vas da uradite sledeće:

• Razumejte prva dva ublaženja koja omogućavaju ažuriranje baze podataka za bezbedno pokretanje i ažuriranje upravljača za pokretanje.

• Pregledajte ažurirani raspored.

• Počnite da testirate prva dva umanjivanja protiv reprezentativnih uređaja iz okruženja.

• Počnite da planirate primenu.

3. korak: Nametanje promena

Podstičemo vas da razumete rizike navedene u odeljku Razumevanje rizika.

• Razumevanje uticaja na oporavak i druge medije koji se mogu pokrenuti.

• Počnite da testirate treće umanjivanje koje nepouzda certifikat potpisa koji se koristi za sve prethodne upravljače windows pokretanjem.

Uputstva za umanjivanje primene

Pre nego što pratite ove korake za primenu umanjivanja, instalirajte mesečnu ispravku za servisiranje operativnog sistema Windows objavljenu 9. jula 2024. ili posle toga, na podržanim Windows uređajima. Ova ispravka uključuje umanjivanja za CVE-2023-24932, ali one nisu podrazumevano omogućene. Svi Windows uređaji trebalo bi da dovrše ovaj korak bez obzira na plan kako bi se omogućila umanjivanja.

Da biste primenili ispravku i primenili opo pozivanja, pratite ove korake:

1. Instalirajte ažurirane definicije certifikata u DB.

   Ovaj korak će dodati certifikat "Windows UEFI CA 2023" UEFI "Baza podataka potpisa za bezbedno pokretanje" (DB). Ako ovaj certifikat dodate u DB, firmver uređaja će imati poverenja u aplikacije za pokretanje koje je potpisao ovaj certifikat.

   1. Otvorite komandnu liniju administratora i podesite regkey tako da izvrši ažuriranje u DB tako što ćete uneti sledeću komandu:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      VAЋNO Obavezno ponovo pokrenite uređaj dva puta da biste dovršili instalaciju ispravke pre nego što pređete na 2. i 3. korak.

   2. Pokrenite sledeću PowerShell komandu kao administrator i potvrdite da je DB uspešno ažuriran. Ova komanda bi trebalo da vrati vrednost Tačno.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Ažurirajte upravljač pokretanjem na uređaju.

   Ovaj korak će instalirati aplikaciju upravljača pokretanja na uređaju koja je potpisana certifikatom ""Windows UEFI CA 2023".

   1. Otvorite administratorsku komandnu liniju i podesite regkey da biste instalirali upravljač pokretanja potpisanog programa "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Ponovo pokrenite uređaj dva puta.

   3. Kao administrator, postavite EFI particiju da biste je pripremili za ispitivanje:

      mountvol s: /s

   4. Proverite da li je datoteka "s:\efi\microsoft\boot\bootmgfw.efi" potpisana certifikatom "Windows UEFI CA 2023". Da biste to uradili, pratite ove korake:

      1. Kliknite na dugme Start, otkucajte komandnu liniju u polju Pretraga , a zatim izaberite stavku Komandna linija.

      2. U prozoru Komandna linija otkucajte sledeću komandu, a zatim pritisnite taster Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. U upravljaču datotekama kliknite desnim tasterom miša na datoteku C:\bootmgfw_2023.efi, izaberite stavku Svojstva , a zatim izaberite karticu Digitalni potpisi .

      4. Na listi Potpis potvrdite da lanac certifikata uključuje Windows UEFI CA 2023. Lanac certifikata treba da se podudara sa sledećim snimkom ekrana:
         
         

3. Omogućite opomenj.

   UEFI zabranjena lista (DBX) koristi se za blokiranje učitavanja nepouzdanih UEFI modula. U ovom koraku, ažuriranje DBX-a dodaće certifikat "Windows Production CA 2011" u DBX. To će dovesti do toga da svi menadžeri pokretanja koje je potpisao ovaj certifikat više neće biti pouzdani.

   UPOZORENJE: Pre nego što primenite treće umanjivanje, kreirajte fleš disk za oporavak koji se može koristiti za pokretanje sistema. Informacije o tome kako to da uradite potražite u odeljku Ažuriranje operativnog sistema Windows instaliranje medija.

   Ako sistem dođe u stanje koje nije moguće pokrenuti, pratite korake u odeljku Procedure za oporavak da biste uspostavili početne vrednosti uređaja u stanje opo pozivanja.

   1. Dodajte certifikat "Windows production PCA 2011" na listu zabranjenog UEFI-a za bezbedno pokretanje (DBX). Da biste to uradili, otvorite prozore komandne linije kao administrator, otkucajte sledeću komandu, a zatim pritisnite taster Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Ponovo pokrenite uređaj dva puta i potvrdite da je potpuno ponovo pokrenut.

   3. Potvrdite da je lista instalacija i opoziva uspešno primenjena traženje događaja 1037 u evidenciji događaja.
      
      Informacije o događaju 1037 potražite u članku KB5016061: Bezbedno pokretanje baze podataka i događaji promenljivih DBX promenljivih. Možete i da pokrenete sledeću PowerShell komandu kao administrator i uverite se da vraća vrednost Tačno:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -podudaranje "Microsoft Windows Production PCA 2011" 

4. Primenite SVN ispravku na firmver.
   
   Upravljač pokretanja primenjen u 2. koraku ima ugrađenu novu funkciju za samoprozvanje. Kada se pokrene upravljač pokretanjem, on izvršava samoproveru tako što poredi broj bezbedne verzije (SVN) koji je uskladišten u firmveru, sa SVN-om ugrađenim u upravljač pokretanja. Ako je SVN menadžera pokretanja manji od SVN-a uskladištenog u firmveru, upravljač pokretanjem će odbiti da se pokrene. Ova funkcija sprečava napadača da vrati upravljač pokretanjem na stariju verziju koja nije ažurirana.
   
   U budućim ispravkama, kada se značajni bezbednosni problem reši u upravljaču pokretanjem, SVN broj će se povećati i u upravljaču pokretanjem i u ispravci firmvera. Obe ispravke će biti objavljene u istoj kumulativnom ažuriranju da bi se uverili da su zakrvljeni uređaji zaštićeni. Svaki put kada se SVN ažurira, svi mediji koji se mogu pokrenuti moraće da se ažuriraju.
   
   Počevši od 9. jula 2024. godine, ispravke, SVN se povećavanje u funkciji Boot Manager i ažuriranje firmvera. Ispravka firmvera je opcionalna i može se primeniti tako što ćete pratiti ove korake:

   1. Otvorite komandnu liniju administratora i pokrenite sledeću komandu da biste instalirali upravljač pokretanja potpisanim sistemom "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Ponovo pokrenite uređaj dva puta.

Medijum koji se može pokrenuti

Biće važno da ažurirate medije koji se mogu pokrenuti kada faza primene počne u okruženju.

Uputstva za ažuriranje medija koji se mogu pokrenuti dolaze uz buduća ažuriranja ovog članka. Pogledajte sledeći odeljak da biste kreirali USB fleš disk za oporavak uređaja.

Ažuriranje medijuma za instalaciju operativnog sistema Windows

Možete da koristite aplikaciju Create Recovery Drive tako što ćete pratiti ove korake. Ovaj medijum se može koristiti za ponovnu instalaciju uređaja u slučaju da postoji veliki problem kao što je otkazivanje hardvera, moći ćete da koristite disk jedinicu za oporavak da biste ponovo instalirali Windows.

1. Idite na uređaj na kom su ispravke od 9. jula 2024. i prvi korak ublaženja (ažuriranje baze podataka za bezbedno pokretanje) primenjeni.

2. U " Start" meniju potražite aplet "Kreiranje disk jedinice za oporavak" i pratite uputstva da biste kreirali disk jedinicu za oporavak.

3. Dok je novokreirana fleš disk jedinica postavljena (na primer, kao disk jedinica "D:"), pokrenite sledeće komande kao administrator. Otkucajte svaku od sledećih komandi, a zatim pritisnite taster Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ako upravljate instalacionim medijima u okruženju pomoću instalacionog medijuma Ažuriranje operativnog sistema Windows pomoću vodiča za dinamičko ažuriranje, pratite ove korake. Ovi dodatni koraci će kreirati fleš disk koji se može pokrenuti i koji koristi datoteke za pokretanje koje je potpisao certifikat potpisa "Windows UEFI CA 2023".

1. Idite na uređaj na kom su 9. jula 2024. ažuriranja i prvi korak ublaženja (ažuriranje baze podataka za bezbedno pokretanje) primenjeni.

2. Pratite korake iz dolenavedene veze da biste kreirali medije sa ispravkama od 9. jula 2024. Ažuriranje windows instalacionog medijuma pomoću dinamičke ispravke

3. Postavite sadržaj medija na USB fleš disk i postavite fleš disk jedinicu kao oznaku disk jedinice. Na primer, postavite disk jedinicu sa sličicama kao "D:".

4. Pokrenite sledeće komande iz komandnog prozora kao administrator. Otkucajte svaku od sledećih komandi, a zatim pritisnite taster Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ako uređaj ima postavke bezbednog pokretanja na podrazumevane vrednosti nakon primene umanjivanja, uređaj se neće pokrenuti. Da biste rešili ovaj problem, aplikacija za popravku je uključena u ispravke od 9. jula 2024. koje se mogu koristiti za ponovnu primenu certifikata "Windows UEFI CA 2023" na DB (ublažavanje #1).

1. Idite na uređaj na kom su primenjene ispravke za 9. jul 2024.

2. U komandnom prozoru kopirajte aplikaciju za oporavak na fleš disk pomoću sledećih komandi (pod pretpostavkom da je fleš disk "D:" disk jedinica). Otkucajte svaku komandu zasebno, a zatim pritisnite taster Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Na uređaju koji ima postavke bezbednog pokretanja uspostavite podrazumevane vrednosti, umetnite fleš disk, ponovo pokrenite uređaj i pokrenite ga sa fleš diska.

Podešavanje vremena ispravki

Ispravke se objavljuje na sledeći način:

• Početna primena Ova faza je započeta ispravkama objavljenim 9. maja 2023. i pružala je osnovna umanjivanja ručnim koracima za omogućavanje tih umanjivanja.

• Druga primena Ova faza je započeta ispravkama objavljenim 11. jula 2023. koje su dodale pojednostavljene korake kako bi se omogućilo umanjivanje problema.

• Faza procene Ova faza će početi 9. aprila 2024. i dodaće dodatna umanjivanja upravljača pokretanja.

• Faza primene Sada ćemo podstaći sve klijente da počnu da primenjuju umanjivanja i ažuriraju medije.

• Faza sprovođenja Faza sprovođenja koja će umanjiti umanjivanja trajnih. Datum ove faze biće objavljen kasnije.

Napomena Raspored izdanja može da se korigujete po potrebi.

Greške u Windows evidenciji događaja povezane sa CVE-2023-24932

Stavke Windows evidencije događaja povezane sa ažuriranjem DB i DBX-a detaljno su opisane u članku KB5016061: Događaji ažuriranja promenljivih za bezbedno pokretanje DBX i DBX promenljivih.

Događaji "uspeh" povezani sa primenom umanjivanja navedeni su u sledećoj tabeli.

Najčešća pitanja (najčešća pitanja)

Rešavanje problema sa pokretanjem

Nakon što su primenjena sva tri umanjivanja, firmver uređaja se neće pokrenuti pomoću upravljača pokretanja koji je potpisao Windows Produktivni PCA 2011. Greške pri pokretanju koje je prijavio firmver su specifične za uređaj. Pogledajte odeljak "Postupak oporavka ".

Procedura oporavka

Ako nešto nije u redu prilikom primene umanjivanja i ne možete da pokrenete uređaj ili treba da krenete od spoljnih medija (kao što je fleš disk ili PXE pokretanje), isprobajte sledeće predloge:

1. Isključivanje bezbednog pokretanja.
   
   Ova procedura se razlikuje od proizvođača uređaja i modela. Unesite uređaje UEFI BIOS meni i pomerite se do postavki bezbednog pokretanja i isključite ga. Pogledajte dokumentaciju proizvođača uređaja da biste saznali detalje o ovom procesu. Više detalja možete pronaći u odeljku Onemogućavanje bezbednog pokretanja.

2. Uspostavljanje fabričkih podrazumevanih vrednosti ključeva bezbednog pokretanja.

   Ako uređaj podržava uspostavljanje fabričkih vrednosti ključeva za bezbedno pokretanje na fabričke vrednosti, odmah izvršite ovu radnju.

   NOTA Neki proizvođači uređaja imaju opciju "Obriši" i opciju "Uspostavi početne vrednosti" za promenljive bezbednog pokretanja, u kom slučaju bi trebalo koristiti opciju "Uspostavljanje početnih vrednosti". Cilj je da se promenljive bezbednog pokretanja vraćaju na podrazumevane vrednosti proizvođača.

   Uređaj bi trebalo da počne odmah, ali imajte na umu da je on ranjiv na malver koji se koristi za pokretanje sistema. Obavezno dovršite 5. korak ovog procesa oporavka da biste ponovo omogućili bezbedno pokretanje.

3. Pokušajte da pokrenete Windows sa sistemskog diska.

   1. Prijavite se u Windows.

   2. Pokrenite sledeće komande sa komandne linije administratora da biste vratili datoteke za pokretanje u particiji za pokretanje sistema EFI. Otkucajte svaku komandu zasebno, a zatim pritisnite taster Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Pokretanje BCDBoot daje "Datoteke za pokretanje su uspešno kreirane". Kada se ova poruka prikaže, ponovo pokrenite uređaj u operativnom sistemu Windows.

4. Ako 3. korak ne oporavi uređaj uspešno, ponovo instalirajte Windows.

   1. Pokrenite uređaj iz postojećeg medijuma za oporavak.

   2. Nastavite sa instalacijom operativnog sistema Windows pomoću medijuma za oporavak.

   3. Prijavite se u Windows.

   4. Ponovo pokrenite Windows da biste potvrdili da se uređaj pokreće nazad na Windows.

5. Ponovo omogućite bezbedno pokretanje i ponovo pokrenite uređaj.
   
   Unesite UEFI meni uređaja i idite na postavke bezbednog pokretanja i uključite ga. Pogledajte dokumentaciju proizvođača uređaja da biste saznali detalje o ovom procesu. Više informacija možete pronaći u odeljku "Ponovno omogućavanje bezbednog pokretanja".

Reference

• Uputstvo za istraživanje napada koji koriste CVE-2022-21894: BlackLotus kampanja

• Bezbedno pokretanje

• Omogući bezbedno pokretanje na upisanim Windows uređajima

• Događaje koji se generišu prilikom primene DBX ispravki potražite u članku KB5016061: Adresiranje ranjivih i opozvanih menadžera pokretanja.