KB5025885: CVE-2023-24932 ile ilişkili Güvenli Önyükleme değişiklikleri için Windows Önyükleme Yöneticisi iptallerini yönetme

Bu makalede

• Özet

  • Eyleme Geç

  • Etki Kapsamı

  • Riskleri anlama

  • Bilinen Sorunlar

• Bu sürüm için yönergeler

• Azaltma dağıtımı yönergeleri

• Önyüklenebilir medya

• Windows yükleme medyası güncelleştiriliyor

• Güncelleştirmelerin zamanlaması

• CVE-2023-24932 ile ilgili Windows Olay günlüğü hataları

• Sık Sorulan Sorular (SSS)

• Önyükleme sorunlarını giderme

• Kurtarma yordamı

• Başvurular

• Günlüğü değiştir

Özet

Bu makalede CVE-2023-24932 tarafından izlenen BlackLotus UEFI önyükleme setini kullanan genel olarak açıklanan Güvenli Önyükleme güvenlik özelliği atlamasına karşı koruma, risk azaltmaların nasıl etkinleştirileceği ve önyüklenebilir medyayla ilgili yönergeler açıklanmaktadır. Bootkit, işletim sistemi başlatmasını denetlemek için bir cihaz önyükleme dizisinde mümkün olduğunca erken yüklenmek üzere tasarlanmış kötü amaçlı bir programdır.

Güvenli Önyükleme , Birleşik Genişletilebilir Bellenim Arabirimi'nden (UEFI) Windows çekirdeği Güvenilen Önyükleme dizisi aracılığıyla güvenli ve güvenilir bir yol oluşturmak için Microsoft tarafından önerilir. Güvenli Önyükleme, önyükleme sırasında bootkit kötü amaçlı yazılımlarının önlenmesine yardımcı olur. Güvenli Önyükleme'nin devre dışı bırakılması, bir cihazın bootkit kötü amaçlı yazılımdan etkilenme riskiyle karşı karşıya bırakır. CVE-2023-24932'de açıklanan Güvenli Önyükleme atlamasının düzeltilmesi için önyükleme yöneticilerinin iptali gerekir. Bu, bazı cihaz önyükleme yapılandırmalarında sorunlara neden olabilir.

CVE-2023-24932'de ayrıntılı olarak açıklanan Güvenli Önyükleme atlamalarına karşı azaltmalar, 9 Temmuz 2024 veya sonrasında yayımlanan Windows güvenlik güncelleştirmelerine dahildir. Ancak, bu azaltmalar varsayılan olarak etkin değildir. Bu güncelleştirmelerle, ortamınızda bu değişiklikleri değerlendirmeye başlamanızı öneririz. Zamanlamanın tamamı güncelleştirmelerin zamanlaması bölümünde açıklanmıştır.

Bu azaltmaları etkinleştirmeden önce, bu makaledeki ayrıntıları ayrıntılı bir şekilde gözden geçirmeli ve azaltmaları etkinleştirmeniz mi yoksa Microsoft'tan gelecek bir güncelleştirmeyi mi beklemeniz gerektiğini belirlemeniz gerekir. Risk azaltmaları etkinleştirmeyi seçerseniz, cihazlarınızın güncelleştirildiğini ve hazır olduğunu doğrulamanız ve bu makalede açıklanan riskleri anlamanız gerekir. 

Bu sürüm için yönergeler

Bu sürüm için bu iki adımı izleyin.

1. Adım: Windows güvenlik güncelleştirmesini

yükleme Desteklenen Windows cihazlarına 9 Temmuz 2024 veya sonrasında yayımlanan Windows aylık güvenlik güncelleştirmesini yükleyin. Bu güncelleştirmeler CVE-2023-24932 için risk azaltmaları içerir ancak varsayılan olarak etkinleştirilmez. Azaltmaları dağıtmayı planlayıp planlamasanız da tüm Windows cihazları bu adımı tamamlamalıdır.

2. Adım: Değişiklikleri

değerlendirme Aşağıdakileri yapmanızı öneririz:

• Güvenli Önyükleme DB'sini güncelleştirmeye ve önyükleme yöneticisini güncelleştirmeye izin veren ilk iki azaltmayı anlayın.

• Güncelleştirilmiş zamanlamayı gözden geçirin.

• Ortamınızdaki temsili cihazlara karşı ilk iki risk azaltmasını test edin.

• Dağıtımı planlamaya başlayın.

3. Adım: Değişiklikleri zorunlu kılma

Riskleri Anlama bölümünde belirtilen riskleri anlamanızı öneririz.

• Kurtarmanın ve diğer önyüklenebilir medyanın etkisini anlayın.

• Önceki tüm Windows önyükleme yöneticileri için kullanılan imzalama sertifikasına güvenilmeyen üçüncü azaltmayı test edin.

Azaltma dağıtımı yönergeleri

Risk azaltmaları uygulamak için bu adımları izlemeden önce, desteklenen Windows cihazlarına 9 Temmuz 2024 veya sonrasında yayımlanan Windows aylık hizmet güncelleştirmesini yükleyin. Bu güncelleştirme CVE-2023-24932 için risk azaltmaları içerir ancak varsayılan olarak etkinleştirilmez. Risk azaltmayı etkinleştirme planınızdan bağımsız olarak tüm Windows cihazları bu adımı tamamlamalıdır.

Güncelleştirmeyi dağıtmak ve iptalleri uygulamak için şu adımları izleyin:

1. Güncelleştirilmiş sertifika tanımlarını DB'ye yükleyin.

   Bu adım UEFI "Güvenli Önyükleme İmzaSı Veritabanı" (DB) öğesine "Windows UEFI CA 2023" sertifikasını ekler. Bu sertifikayı VERITABANıNA ekleyerek cihaz üretici yazılımı bu sertifika tarafından imzalanan önyükleme uygulamalarına güvenir.

   1. Bir Yönetici komut istemi açın ve aşağıdaki komutu girerek regkey değerini db güncelleştirmesini gerçekleştirecek şekilde ayarlayın:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      ÖNEMLİ 2. ve 3. Adımlara geçmeden önce güncelleştirmeyi yüklemeyi tamamlamak için cihazı iki kez yeniden başlattığınızdan emin olun.

   2. Aşağıdaki PowerShell komutunu Yönetici olarak çalıştırın ve DB'nin başarıyla güncelleştirildiğini doğrulayın. Bu komut True döndürmelidir.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Cihazınızda Önyükleme Yöneticisi'ni güncelleştirin.

   Bu adım, cihazınıza "'Windows UEFI CA 2023" sertifikasıyla imzalanan bir önyükleme yöneticisi uygulaması yükler.

   1. Yönetici komut istemini açın ve "'Windows UEFI CA 2023" imzalı önyükleme yöneticisini yüklemek için regkey'i ayarlayın:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Cihazı iki kez yeniden başlatın.

   3. Yönetici olarak, incelemeye hazır hale getirmek için EFI bölümünü bağlayın:

      mountvol s: /s

   4. "s:\efi\microsoft\boot\bootmgfw.efi" dosyasının "Windows UEFI CA 2023" sertifikası tarafından imzalandığını doğrulayın. Bunu yapmak için şu adımları izleyin:

      1. Başlat'a tıklayın, Arama kutusuna komut istemi yazın ve ardından Komut İstemi'ne tıklayın.

      2. Komut İstemi penceresinde aşağıdaki komutu yazın ve Enter tuşuna basın:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Dosya Yöneticisi'nde C:\bootmgfw_2023.efi dosyasına sağ tıklayın, Özellikler'e tıklayın ve dijital imzalar sekmesini seçin.

      4. İmza listesinde, sertifika zincirinin Windows UEFI CA 2023 içerdiğini onaylayın. Sertifika zinciri aşağıdaki ekran görüntüsüyle eşleşmelidir:
         
         

3. İptali etkinleştirin.

   UEFI Yasak Listesi (DBX), güvenilmeyen UEFI modüllerinin yüklenmesini engellemek için kullanılır. Bu adımda DBX güncelleştirilirken DBX'e "Windows Production CA 2011" sertifikası eklenir. Bu, bu sertifika tarafından imzalanan tüm önyükleme yöneticilerinin artık güvenilir olmamasına neden olur.

   UYARI: Üçüncü risk azaltmayı uygulamadan önce, sistemi önyüklemek için kullanılabilecek bir kurtarma flash sürücüsü oluşturun. Bunun nasıl yapılacağını öğrenmek için Windows yükleme medyasını güncelleştirme bölümüne bakın.

   Sisteminiz önyüklenemez bir duruma geçerse, cihazı iptal öncesi durumuna sıfırlamak için Kurtarma yordamı bölümündeki adımları izleyin.

   1. "Windows Production PCA 2011" sertifikasını Güvenli Önyükleme UEFI Yasak Listesi'ne (DBX) ekleyin. Bunu yapmak için, Yönetici olarak bir Komut İstemi penceresi açın, aşağıdaki komutu yazın ve Enter tuşuna basın:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Cihazı iki kez yeniden başlatın ve tamamen yeniden başlatıldığını onaylayın.

   3. Olay günlüğünde olay 1037'yi arayarak yükleme ve iptal listesinin başarıyla uygulandığını doğrulayın.
      
      Olay 1037 hakkında bilgi için bkz. KB5016061: Güvenli Önyükleme DB ve DBX değişken güncelleştirme olayları. Veya aşağıdaki PowerShell komutunu Yönetici olarak çalıştırın ve Doğru döndürdüğünden emin olun:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011' 

4. SVN güncelleştirmesini üretici yazılımına uygulayın.
   
   2. Adımda dağıtılan Önyükleme Yöneticisi'nin yerleşik olarak yeni bir kendi kendine iptal özelliği vardır. Önyükleme Yöneticisi çalışmaya başladığında, üretici yazılımında depolanan Güvenli Sürüm Numarası'nı (SVN) Önyükleme Yöneticisi'nde yerleşik olarak bulunan SVN ile karşılaştırarak kendi kendine denetim gerçekleştirir. Önyükleme Yöneticisi SVN'sinin üretici yazılımında depolanan SVN'den düşük olması durumunda Önyükleme Yöneticisi çalıştırmayı reddeder. Bu özellik, saldırganın Önyükleme Yöneticisi'ni eski, güncelleştirilmeyen bir sürüme geri döndürmesini engeller.
   
   Gelecekteki güncelleştirmelerde, Önyükleme Yöneticisi'nde önemli bir güvenlik sorunu düzeltildiğinde, SVN numarası hem Önyükleme Yöneticisi'nde hem de üretici yazılımı güncelleştirmesinde artırılacaktır. Düzeltme eki yapılan cihazların korunduğundan emin olmak için her iki güncelleştirme de aynı toplu güncelleştirmede yayımlanacaktır. SVN her güncelleştirildiğinde önyüklenebilir medyaların güncelleştirilmiş olması gerekir.
   
   9 Temmuz 2024 güncelleştirmeleri ile başlayarak, SVN Önyükleme Yöneticisi'nde ve üretici yazılımı güncelleştirmesinde artırılıyor. Üretici yazılımı güncelleştirmesi isteğe bağlıdır ve aşağıdaki adımları izleyerek uygulanabilir:

   1. Bir Yönetici komut istemi açın ve "'Windows UEFI CA 2023" imzalı önyükleme yöneticisini yüklemek için aşağıdaki komutu çalıştırın:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Cihazı iki kez yeniden başlatın.

Önyüklenebilir medya

Ortamınızda Dağıtım Aşaması başladıktan sonra önyüklenebilir medyayı güncelleştirmeniz önemlidir.

Önyüklenebilir medyayı güncelleştirme yönergeleri bu makalenin gelecekteki güncelleştirmeleriyle birlikte sunulacaktır. Bir cihazı kurtarmak için usb başparmak sürücüsü oluşturmak için sonraki bölüme bakın.

Windows yükleme medyası güncelleştiriliyor

Bu adımları izleyerek Kurtarma Sürücüsü Oluştur uygulamasını kullanabilirsiniz. Bu medya, donanım hatası gibi önemli bir sorun olması durumunda bir cihazı yeniden yüklemek için kullanılabilir. Windows'un yeniden yüklenmesi için kurtarma sürücüsünü kullanabilirsiniz.

1. 9 Temmuz 2024 güncelleştirmelerinin ve ilk risk azaltma adımının (Güvenli Önyükleme DB'yi güncelleştirme) uygulandığı bir cihaza gidin.

2. Başlat menüsünden "Kurtarma Sürücüsü Oluştur" denetim masası uygulaması için arama yapın ve bir kurtarma sürücüsü oluşturmak için yönergeleri izleyin.

3. Yeni oluşturulan flash sürücü takılı olduğundan (örneğin, "D:" sürücüsü olarak), yönetici olarak aşağıdaki komutları çalıştırın. Aşağıdaki komutların her birini yazın ve Enter tuşuna basın:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ortamınızdaki yüklenebilir medyayı Windows yükleme medyasını Dinamik Güncelleştirme ile güncelleştirme yönergelerini kullanarak yönetiyorsanız, aşağıdaki adımları izleyin. Bu ek adımlar, "Windows UEFI CA 2023" imzalama sertifikası tarafından imzalanan önyükleme dosyalarını kullanan önyüklenebilir bir flash sürücü oluşturur.

1. 9 Temmuz 2024 güncelleştirmelerinin ve ilk risk azaltma adımının (Güvenli Önyükleme DB'yi güncelleştirme) uygulandığı bir cihaza gidin.

2. 9 Temmuz 2024 güncelleştirmeleriyle medya oluşturmak için aşağıdaki bağlantıdaki adımları izleyin. Dinamik Güncelleştirme ile Windows yükleme medyası güncelleştirme

3. Medyanın içeriğini bir USB başparmak sürücüsüne yerleştirin ve başparmak sürücüsünü sürücü harfi olarak bağlayın. Örneğin, başparmak sürücüsünü "D:" olarak bağlayın.

4. Bir komut penceresinden aşağıdaki komutları yönetici olarak çalıştırın. Aşağıdaki komutların her birini yazın ve Enter tuşuna basın.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Bir cihazda, risk azaltmaları uygulandıktan sonra Güvenli Önyükleme ayarları varsayılanlara sıfırlanırsa cihaz önyüklemez. Bu sorunu çözmek için, "Windows UEFI CA 2023" sertifikasını DB'ye yeniden uygulamak için kullanılabilecek bir onarım uygulaması 9 Temmuz 2024 güncelleştirmelerine dahil edilir (azaltma #1).

1. 9 Temmuz 2024 güncelleştirmelerinin uygulandığı bir cihaza gidin.

2. Komut penceresinde, aşağıdaki komutları kullanarak kurtarma uygulamasını flash sürücüye kopyalayın (flash sürücünün "D:" sürücüsü olduğu varsayılır). Her komutu ayrı olarak yazıp Enter tuşuna basın:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Güvenli Önyükleme ayarlarının varsayılanlara sıfırlanması gereken cihazda flash sürücüyü takın, cihazı yeniden başlatın ve flash sürücüden önyükleme yapın.

Güncelleştirmelerin zamanlaması

Güncelleştirmeler aşağıdaki gibi yayınlanmıştır:

• İlk Dağıtım Bu aşama, 9 Mayıs 2023'te yayınlanan güncelleştirmelerle başladı ve bu azaltmaları etkinleştirmek için el ile gerçekleştirilen adımlarla temel azaltmalar sağladı.

• İkinci Dağıtım Bu aşama, 11 Temmuz 2023'te yayımlanan güncelleştirmelerle başladı ve bu güncelleştirmeler, soruna yönelik azaltmaları etkinleştirmek için basitleştirilmiş adımlar ekledi.

• Değerlendirme Aşaması Bu aşama 9 Nisan 2024'e başlayacak ve ek önyükleme yöneticisi risk azaltmaları ekleyecektir.

• Dağıtım Aşaması Bu noktada tüm müşterileri risk azaltmaları dağıtmaya ve medyayı güncelleştirmeye başlamaya teşvik edeceğiz.

• Zorlama Aşaması Azaltmaları kalıcı hale getiren Zorlama Aşaması. Bu aşamanın tarihi sonraki bir tarihte duyurulacaktır.

Not Sürüm zamanlaması gerektiği gibi düzeltilebilir.

CVE-2023-24932 ile ilgili Windows Olay günlüğü hataları

DB ve DBX'i güncelleştirmeyle ilgili Windows Olay günlüğü girişleri KB5016061: Güvenli Önyükleme DB ve DBX değişken güncelleştirme olayları bölümünde ayrıntılı olarak açıklanmıştır.

Risk azaltmaları uygulamayla ilgili "başarılı" olaylar aşağıdaki tabloda listelenmiştir.

Sık Sorulan Sorular (SSS)

Önyükleme sorunlarını giderme

Üç azaltma da uygulandıktan sonra cihaz üretici yazılımı, Windows Production PCA 2011 tarafından imzalanan bir önyükleme yöneticisi kullanılarak önyükleme yapılmaz. Üretici yazılımı tarafından bildirilen önyükleme hataları cihaza özeldir. Lütfen Kurtarma yordamı bölümüne bakın.

Kurtarma yordamı

Risk azaltmaları uygularken bir sorun olursa ve cihazınızı başlatamıyorsanız veya dış medyadan (başparmak sürücüsü veya PXE önyüklemesi gibi) başlamanız gerekiyorsa aşağıdaki önerileri deneyin:

1. Güvenli Önyükleme'i kapatın.
   
   Bu yordam, cihaz üreticileri ve modelleri arasında farklılık gösterir. Cihazlarınız UEFI BIOS menüsüne girin ve Güvenli Önyükleme ayarlarına gidin ve kapatın. Bu işlemle ilgili ayrıntılar için cihaz üreticinizin belgelerine bakın. Daha ayrıntılı bilgi için bkz. Güvenli Önyüklemeyi Devre Dışı Bırakma.

2. Güvenli Önyükleme anahtarlarını fabrika varsayılanlarına sıfırlayın.

   Cihaz güvenli önyükleme anahtarlarını fabrika varsayılanlarına sıfırlamayı destekliyorsa, bu eylemi şimdi gerçekleştirin.

   NOT Bazı cihaz üreticileri, Güvenli Önyükleme değişkenleri için hem "Temizle" hem de "Sıfırla" seçeneğine sahiptir ve bu durumda "Sıfırla" kullanılmalıdır. Amaç, Güvenli Önyükleme değişkenlerini üreticilerin varsayılan değerlerine geri döndürmektir.

   Cihazınız şimdi başlatılmalıdır ancak önyükleme seti kötü amaçlı yazılımlarına karşı savunmasız olduğunu unutmayın. Güvenli Önyükleme'yi yeniden etkinleştirmek için bu kurtarma işleminin 5. adımını tamamladığınızdan emin olun.

3. Windows'ı sistem diskinden başlatmayı deneyin.

   1. Windows'ta oturum açma.

   2. EFI sistem önyükleme bölümündeki önyükleme dosyalarını geri yüklemek için bir Yönetici komut isteminden aşağıdaki komutları çalıştırın. Her komutu ayrı olarak yazıp Enter tuşuna basın:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. BCDBoot çalıştırılırken "Önyükleme dosyaları başarıyla oluşturuldu" döndürür. Bu ileti görüntülendikten sonra cihazı Windows'a geri başlatın.

4. 3. Adım cihazı başarıyla kurtarmazsa Windows'ı yeniden yükleyin.

   1. Cihazı mevcut kurtarma medyasından başlatın.

   2. Kurtarma medyasını kullanarak Windows'u yüklemeye devam edin.

   3. Windows'ta oturum açma.

   4. Cihazın Windows'a geri döndüğünü doğrulamak için Windows'ı yeniden başlatın.

5. Güvenli Önyükleme'yi yeniden etkinleştirin ve cihazı yeniden başlatın.
   
   Cihaz UEFI menüsünü girin ve Güvenli Önyükleme ayarlarına gidin ve açın. Bu işlemle ilgili ayrıntılar için cihaz üreticinizin belgelerine bakın. Daha fazla bilgi için "Güvenli Önyüklemeyi Yeniden Etkinleştir" bölümüne bakın.

Başvurular

• CVE-2022-21894 kullanarak saldırıları araştırma kılavuzu: BlackLotus kampanyası

• Güvenli Önyükleme

• Kayıtlı Windows cihazlarında Güvenli Önyüklemeyi etkinleştirme

• DBX güncelleştirmeleri uygulanırken oluşturulan olaylar için bkz. KB5016061: Güvenlik açığı olan ve iptal edilen Önyükleme Yöneticilerini ele alma.