KB5025885: Kuidas hallata Windowsi käivitushalduri tühistusi CVE-2023-24932 seotud turvalise algkäivituse muudatuste jaoks

Selle artikli teemad

• Kokkuvõte

  • Toiming

  • Mõju ulatus

  • Riskide mõistmine

  • Teadaolevad probleemid

• Selle väljaande juhised

• Leevendusjuhised

• Algkäivitatavad meediumid

• Windowsi installikandja värskendamine

• Värskenduste ajastus

• CVE-2023-24932 seotud Windowsi sündmuselogi tõrked

• Korduma kippuvad küsimused (KKK)

• Algkäivitusprobleemide tõrkeotsing

• Taasteprotseduur

• Viited

• Muudatuste logi

Kokkuvõte

Selles artiklis kirjeldatakse kaitset avalikult avaldatud Secure Booti turbefunktsiooni möödumise eest, mis kasutab CVE-2023-24932 jälitatud BlackLotus UEFI bootkit, kuidas lubada leevendusi ja juhiseid algkäivitatava meediumi kohta. Algkäivituskomplekt on pahatahtlik programm, mis on loodud nii vara kui võimalik laadima seadmete algkäivitusjadas, et juhtida operatsioonisüsteemi käivitamist.

Microsoft soovitab turvalist algkäivitust, et luua turvaline ja usaldusväärne tee ühtsest laiendatavast püsivaraliidesest (UEFI) Windowsi tuuma usaldusväärse algkäivituse jada kaudu. Secure Boot aitab ära hoida algkäivituskomplekti ründevara algkäivitusjadas. Turvalise algkäivituse keelamine seab seadme ohtu, et algkäivituskomplekti ründevara nakatab. Jaotises CVE-2023-24932 kirjeldatud turvalise algkäivituse möödu parandamine nõuab käivitushaldurite tühistamist. See võib põhjustada probleeme mõne seadme algkäivituskonfiguratsiooniga.

Versioonis CVE-2023-24932 kirjeldatud turvalise algkäivituse möödumise leevendused sisalduvad Windowsi turbevärskendustes, mis anti välja 9. juulil 2024 või hiljem. Need leevendused pole vaikimisi lubatud. Nende värskendustega soovitame teil hakata neid muudatusi oma keskkonnas hindama. Täielikku ajakava kirjeldatakse jaotises Värskenduste ajastus .

Enne nende leevenduste lubamist peaksite selles artiklis toodud üksikasjad põhjalikult läbi vaatama ja otsustama, kas peate leevendused lubama või ootama Microsofti tulevast värskendust. Kui otsustate leevendused lubada, peate veenduma, et teie seadmed on värskendatud ja valmis, ning mõistma selles artiklis kirjeldatud riske. 

Selle väljaande juhised

Selle väljaande puhul järgige neid kahte juhist.

1. toiming: Windowsi turbevärskenduse

installimine Installige toetatud Windowsi seadmetesse Windowsi igakuine turbevärskendus, mis on välja antud 9. juulil 2024 või hiljem. Need värskendused hõlmavad CVE-2023-24932 leevendusi, kuid need pole vaikimisi lubatud. Kõik Windowsi seadmed peaksid selle toimingu lõpule viima, olenemata sellest, kas kavatsete leevendused juurutada või mitte.

2. toiming: muudatuste

hindamine Soovitame teil teha järgmist.

• Mõista kahte esimest leevendust, mis võimaldavad värskendada Secure Boot DB-d ja värskendada käivitushaldurit.

• Vaadake värskendatud ajakava üle.

• Hakake testima kahte esimest leevendust oma keskkonnast pärinevate representatiivsete seadmete suhtes.

• Alustage juurutamise kavandamist.

3. juhis: jõustage muudatused

Soovitame teil mõista riske, mida on kirjeldatud jaotises Riskide mõistmine.

• Mõistke taaste ja muude algkäivitatavate meediumite mõju.

• Hakake testima kolmandat leevendust, mis tühistab kõigi varasemate Windowsi käivitushaldurite jaoks kasutatud allkirjastamisserdi.

Leevendusjuhised

Enne nende leevendusmeetmete rakendamist installige toetatud Windowsi seadmetesse Windowsi igakuine hooldusvärskendus, mis on välja antud 9. juulil 2024 või hiljem. See värskendus sisaldab CVE-2023-24932 leevendusi, kuid need pole vaikimisi lubatud. Kõik Windowsi seadmed peaksid selle toimingu lõpule viima olenemata teie plaanist leevendusmeetmete lubamiseks.

Värskenduse juurutamiseks ja tühistuste rakendamiseks tehke järgmist.

1. Installige värskendatud serdidefinitsioonid andmebaasi.

   See toiming lisab "Windows UEFI CA 2023" serdi UEFI -le "Secure Boot Signature Database" (DB). Kui lisate selle serdi andmebaasi, usaldab seadme püsivara selle serdi allkirjastatud algkäivitusrakendusi.

   1. Avage administraatori käsuviip ja määrake regkey, et värskendada DB-ks, sisestades järgmise käsu:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      TÄHTIS Enne 2. ja 3. toiminguga jätkamist taaskäivitage seade kindlasti kaks korda, et värskenduse installimine lõpule viia.

   2. Käivitage järgmine PowerShelli käsk administraatorina ja veenduge, et andmebaasi värskendamine õnnestus. See käsk peaks tagastama väärtuse True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Värskendage seadmes käivitushaldurit.

   Selle toiminguga installitakse teie seadmesse käivitushalduri rakendus, mis on allkirjastatud serdiga "Windows UEFI CA 2023".

   1. Avage administraatori käsuviip ja määrake regkey allkirjastatud käivitushalduri "Windows UEFI CA 2023" installimiseks:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Taaskäivitage seade kaks korda.

   3. Administraatorina ühendage EFI-sektsioon, et see kontrolliks valmis saada.

      mountvol s: /s

   4. Veenduge, et "s:\efi\microsoft\boot\bootmgfw.efi" oleks allkirjastatud serdil "Windows UEFI CA 2023". Selleks tehke järgmist.

      1. Klõpsake nuppu Start, tippige otsinguväljalekäsuviip ja seejärel klõpsake käsku Käsuviip.

      2. Tippige aknas Käsuviip järgmine käsk ja vajutage sisestusklahvi (Enter):

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Paremklõpsake failihalduris faili C:\bootmgfw_2023.efi, klõpsake käsku Atribuudid ja seejärel valige vahekaart Digitaalallkirjad .

      4. Kinnitage loendis Allkiri, et serdiahelasse oleks kaasatud Windows UEFI CA 2023. Serdiahel peaks vastama järgmisele kuvatõmmisele:
         
         

3. Lubage tühistamine.

   UEFI keelatud failide loendit (DBX) kasutatakse UEFI-moodulite ebausaldusväärsete laadimise blokeerimiseks. Selles etapis lisab DBX-i värskendamine DBX-ile serdi "Windows Production CA 2011". Seetõttu ei usaldata enam kõiki selle serdi allkirjastatud käivitushaldureid.

   HOIATUS. Enne kolmanda leevenduse rakendamist looge taastemäluseade, mida saab kasutada süsteemi algkäivitamiseks. Lisateavet selle kohta leiate jaotisest Windowsi installikandja värskendamine.

   Kui teie süsteem satub algkäivitamatusse olekusse, järgige jaotises Taasteprotseduur toodud juhiseid, et lähtestada seade tühistuseelsesse olekusse.

   1. Lisage sert "Windows Production PCA 2011" secure Boot UEFI Keelatud loendisse (DBX). Selleks avage administraatorina käsuviibaaknad, tippige järgmine käsk ja vajutage sisestusklahvi (Enter):

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Taaskäivitage seade kaks korda ja veenduge, et see on täielikult taaskäivitatud.

   3. Veenduge, et installimise ja tühistamise loend oleks rakendatud, otsides sündmuselogist sündmust 1037.
      
      Sündmuse 1037 kohta leiate teavet artiklist KB5016061: Secure Boot DB ja DBX muutuja värskendussündmused. Või käivitage järgmine PowerShelli käsk administraatorina ja veenduge, et see tagastaks väärtuse True:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match "Microsoft Windows Production PCA 2011" 

4. Rakendage püsivarale SVN-i värskendus.
   
   Juhises 2 juurutatud algkäivitushalduril on uus ise tühistamise funktsioon sisseehitatud. Kui käivitushaldur hakkab käivituma, teeb see enesekontrolli, võrreldes püsivarale salvestatud turvalise versiooni numbrit (SVN) SVN-iga, mis on käivitushaldurisse sisse ehitatud. Kui käivitushalduri SVN on väiksem kui püsivara salvestatud SVN, keeldub käivitushaldur käivitamisest. See funktsioon takistab ründajal käivitushalduri varasemale värskendamata versioonile tagasipööramist.
   
   Kui tulevastes värskendustes on käivitushalduris oluline turbeprobleem lahendatud, kasvab SVN-i number nii algkäivitushalduris kui ka püsivara värskenduses. Mõlemad värskendused antakse välja samas koondvärskenduses veendumaks, et paigatud seadmed on kaitstud. Iga kord, kui SVN-i värskendatakse, tuleb värskendada kõiki algkäivitatavaid meediume.
   
   Alates 9. juulist 2024 värskendatakse SVN-i algkäivitushalduris ja püsivara värskenduses. Püsivaravärskendus on valikuline ja seda saab rakendada järgmiste juhiste abil.

   1. Avage administraatori käsuviip ja käivitage allkirjastatud käivitushalduri "Windows UEFI CA 2023" installimiseks järgmine käsk:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Taaskäivitage seade kaks korda.

Algkäivitatavad meediumid

Kui juurutusetapp hakkab teie keskkonnas algkäivitama, on oluline värskendada algkäivitatavat kandjat.

Selle artikli edaspidiste värskendustega antakse juhiseid algkäivitatava meediumi värskendamiseks. Seadme taastamiseks USB-mäluseadme loomiseks lugege järgmist jaotist.

Windowsi installikandja värskendamine

Taasteketta loomise rakenduse kasutamiseks tehke järgmist. Seda kandjat saab kasutada seadme uuesti installimiseks juhul, kui esineb suur probleem (nt riistvaratõrge), saate taasteketta abil Windowsi uuesti installida.

1. Avage seade, kus on rakendatud 9. juuli 2024 värskendused ja esimene leevendussammu etapp (Secure Boot DB värskendamine).

2. Otsige menüüst Start üles juhtpaneeli "Create a Recovery Drive" (Taasteketta loomine) aplett ja järgige taasteketta loomiseks juhiseid.

3. Kui vastloodud mäluseade on ühendatud (nt draivina "D:"), käivitage administraatorina järgmised käsud. Tippige kõik järgmised käsud ja vajutage sisestusklahvi (Enter):

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Kui haldate oma keskkonnas installitavaid meediume, kasutades Juhiseid Windowsi installikandja värskendamiseks Dynamic Update'i abil, tehke järgmist. Need lisatoimingud loovad algkäivitatava mäluseadme, mis kasutab "Windows UEFI CA 2023" allkirjastatud algkäivitusfaile.

1. Avage seade, kus on rakendatud 9. juuli 2024 värskendused ja esimene leevendussammu etapp (Secure Boot DB värskendamine).

2. 9. juuli 2024 värskendustega meediumi loomiseks järgige alloleval lingil toodud juhiseid. Windowsi installikandja värskendamine dünaamilise värskendusega

3. Asetage meediumisisu USB-mäluseadmele ja ühendage pöidlaketas draivi tähena. Näiteks ühendage pöidladraiv kujul "D:".

4. Käivitage administraatorina käsuaknas järgmised käsud. Tippige kõik järgmised käsud ja vajutage sisestusklahvi (Enter).

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Kui seadme turbekäivituse sätted lähtestatakse pärast leevendusmeetmete rakendamist vaikesätetele, siis seade ei käivitu. Selle probleemi lahendamiseks on parandusrakendus lisatud 9. juuli 2024 värskendustele, mida saab kasutada "Windows UEFI CA 2023" serdi uuesti rakendamiseks DB-le (leevendus #1).

1. Avage seade, kus on rakendatud 9. juuli 2024 värskendused.

2. Kopeerige käsuaknas taasterakendus mäluseadmesse järgmiste käskude abil (eeldusel, et mäluseade on D:-draiv). Tippige iga käsk eraldi ja vajutage sisestusklahvi (Enter):

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Sisestage turvalise algkäivituse sätetega seadmesse vaikesätted, sisestage mäluseade, taaskäivitage seade ja käivitage see mäluseadmelt.

Värskenduste ajastus

Värskendused antakse välja järgmiselt.

• Algjuurutus See etapp algas värskendustega, mis anti välja 9. mail 2023, ja pakkusid nende leevenduste lubamiseks põhilist leevendust koos käsitoimingutega.

• Teine juurutamine See etapp algas 11. juulil 2023 välja antud värskendustega, mis lisasid probleemile leevendusmeetmete lubamiseks lihtsustatud etappe.

• Hindamisfaas See etapp algab 9. aprillil 2024 ja lisab täiendavaid käivitushalduri leevendusi.

• Juurutamise faas See on siis, kui julgustame kõiki kliente alustama leevendusmeetmete juurutamist ja meediumi värskendamist.

• Jõustamisfaas Jõustamise etapp, mis muudab leevendused püsivaks. Selle faasi kuupäev loetakse ette hilisemal kuupäeval.

Märkus Väljalaske ajakava võib vastavalt vajadusele muuta.

CVE-2023-24932 seotud Windowsi sündmuselogi tõrked

Windowsi sündmuselogi kirjeid, mis on seotud DB ja DBX värskendamisega, on üksikasjalikult kirjeldatud KB5016061: Secure Boot DB ja DBX muutuja värskendussündmused.

Leevendusmeetmete rakendamisega seotud õnnestumissündmused on loetletud järgmises tabelis.

Korduma kippuvad küsimused (KKK)

Algkäivitusprobleemide tõrkeotsing

Pärast kõigi kolme leevendusmeetmete rakendamist ei käivitu seadme püsivara Windows Production PCA 2011 allkirjastatud käivitushalduri abil. Püsivara teatatud algkäivituse tõrked on seadmepõhised. Lugege jaotist Taasteprotseduur .

Taasteprotseduur

Kui leevendusmeetmete rakendamisel läheb midagi valesti ja te ei saa seadet käivitada või peate käivitama väliskandjalt (nt mälupulgalt või PXE algkäivituselt), proovige järgmisi soovitusi.

1. Lülitage Secure Boot välja.
   
   See toiming erineb seadmetootjatest ja mudelitest. Sisestage oma seadmete UEFI BIOS-i menüü, liikuge secure Booti sätetele ja lülitage see välja. Lisateavet selle protsessi kohta leiate oma seadme tootja dokumentatsioonist. Lisateavet leiate artiklist Turvalise algkäivituse keelamine.

2. Lähtestage Secure Booti võtmed tehase vaikesätetele.

   Kui seade toetab turvaliste algkäivitusvõtmete tehase vaikesätete lähtestamist, tehke see toiming kohe.

   MÄRKUS Mõnel seadme tootjal on secure Booti muutujate jaoks nii suvand "Tühjenda" kui ka "Lähtesta", misjuhul tuleks kasutada "Reset". Eesmärk on viia Secure Booti muutujad tagasi tootjate vaikeväärtuste hulka.

   Seade peaks käivituma kohe, kuid võtke arvesse, et see on algkäivituskomplekti ründevarale haavatav. Secure Booti uuesti lubamiseks viige kindlasti lõpule selle taasteprotsessi 5. toiming.

3. Proovige Windows käivitada süsteemikettalt.

   1. Windowsi sisselogimine.

   2. Käivitage järgmised käsud administraatori käsuviiba kaudu, et taastada algkäivitusfailid EFI süsteemi algkäivitussektsioonis. Tippige iga käsk eraldi ja vajutage sisestusklahvi (Enter):

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. BCDBooti käitamine tagastab "Algkäivitusfailid on loodud". Pärast selle teate kuvamist taaskäivitage seade uuesti Windowsisse.

4. Kui 3. juhis ei taasta seadet edukalt, installige Windows uuesti.

   1. Käivitage seade olemasoleva taastekandja abil.

   2. Jätkake Windowsi installimist taastekandja abil.

   3. Windowsi sisselogimine.

   4. Taaskäivitage Windows, et kontrollida, kas seade käivitatakse uuesti Windowsiga.

5. Lubage Secure Boot uuesti ja taaskäivitage seade.
   
   Sisestage seadme UEFI-liidese menüü, liikuge secure Booti sätetele ja lülitage see sisse. Lisateavet selle protsessi kohta leiate oma seadme tootja dokumentatsioonist. Lisateavet leiate jaotisest "Secure Booti uuesti lubamine".

Viited

• Juhised Rünnete uurimiseks CVE-2022-21894 abil: BlackLotuse kampaania

• Turvaline algkäivitus

• Secure Booti lubamine registreeritud Windowsi seadmetes

• DBX-värskenduste rakendamisel genereeritavate sündmuste kohta vt KB5016061: Haavatavate ja tühistatud algkäivitushaldurite käsitlemine.