KB5025885: Upravljanje opomenom upravitelja pokretanja sustava Windows za promjene sigurnog pokretanja povezane s CVE-2023-24932

U ovom članku

• Sažetak

  • Akcija

  • Opseg utjecaja

  • Razumijevanje rizika

  • Poznati problemi

• Smjernice za ovo izdanje

• Smjernice za implementaciju ublažavanja

• Medij za pokretanje

• Ažuriranje medija za instalaciju sustava Windows

• Tempiranje ažuriranja

• Pogreške zapisnika događaja u sustavu Windows povezane s CVE-2023-24932

• Najčešća pitanja (najčešća pitanja)

• Otklanjanje poteškoća s pokretanjem

• Postupak oporavka

• Reference

• Zapisnik promjena

Sažetak

U ovom se članku opisuje zaštita od javno otkrivenog zaobilaženje sigurnosnih značajki sigurnog pokretanja koje koristi BlackLotus UEFI bootkit koji prati CVE-2023-24932, kako omogućiti ublažavanja i smjernice za medije koji se mogu pokrenuti. Bootkit je zlonamjerni program koji je osmišljen za učitavanje što je prije moguće u slijedu pokretanja uređaja radi upravljanja pokretanjem operacijskog sustava.

Microsoft preporučuje sigurno pokretanje za stvaranje sigurnog i pouzdanog puta iz objedinjenog sučelja za proširivu opremu (UEFI) kroz slijed pouzdanog pokretanja jezgre sustava Windows. Sigurno pokretanje pomaže u sprječavanju zlonamjernog softvera bootkita u slijedu pokretanja. Onemogućivanjem sigurnog pokretanja uređaj prijeti opasnosti od zaraze zlonamjernim softverom bootkita. Popravljanje zaobilaženje sigurnog pokretanja opisano u cve-2023-24932 zahtijeva opoziv upravitelja pokretanja. To može uzrokovati probleme za neke konfiguracije pokretanja uređaja.

Mitigations against the Secure Boot bypass detailed in CVE-2023-24932 are included in the Windows security updates that were released on or after July 9, 2024. Međutim, ta ublažavanja nisu omogućena po zadanom. Uz ta ažuriranja preporučujemo da počnete procjenjivati te promjene u svom okruženju. Potpuni raspored opisan je u odjeljku Tempiranje ažuriranja.

Prije omogućivanja tih ublažavanja trebali biste temeljito pregledati pojedinosti u ovom članku i odrediti morate li omogućiti ublažavanje poteškoća ili pričekati buduće ažuriranje od Microsofta. Ako odlučite omogućiti ublažavanje problema, morate provjeriti jesu li vaši uređaji ažurirani i spremni te razumjeti rizike opisane u ovom članku. 

Smjernice za ovo izdanje

Za ovo izdanje slijedite ova dva koraka.

1. korak: instalacija sigurnosnog ažuriranja sustava

Windows Instalirajte mjesečno sigurnosno ažuriranje sustava Windows izdano 9. srpnja 2024. ili kasnije na podržanim uređajima sa sustavom Windows. Ta ažuriranja obuhvaćaju ublažavanja za CVE-2023-24932, ali nisu omogućena prema zadanim postavkama. Svi uređaji sa sustavom Windows trebali bi dovršiti taj korak bez obzira na to planirate li implementirati ublažavanja.

Drugi korak: procjena promjena

Preporučujemo vam da učinite sljedeće:

• Razumijevanje prva dva ublažavanja koja omogućuju ažuriranje baze podataka za sigurno pokretanje i ažuriranje upravitelja pokretanja.

• Pregledajte ažurirani raspored.

• Počnite testirati prva dva ublažavanja protiv reprezentativnih uređaja iz vašeg okruženja.

• Počnite planirati implementaciju.

Treći korak: nametanje promjena

Preporučujemo da shvatite rizike istaknute u odjeljku Razumijevanje rizika.

• Razumijevanje utjecaja na oporavak i druge medije za pokretanje.

• Započnite testiranje trećeg ublažavanja koje poništava pouzdanost certifikata potpisivanja koji se koristi za sve prethodne upravitelje pokretanja sustava Windows.

Smjernice za implementaciju ublažavanja

Prije nego što pratite ove korake za primjenu ublažavanja, instalirajte mjesečno ažuriranje za servisiranje sustava Windows izdano 9. srpnja 2024. ili kasnije na podržanim uređajima sa sustavom Windows. Ovo ažuriranje obuhvaća ublažavanja za CVE-2023-24932, ali nisu omogućena po zadanom. Svi uređaji sa sustavom Windows moraju dovršiti taj korak bez obzira na plan da biste omogućili ublažavanje.

Da biste implementirali ažuriranje i primijenili opozive, slijedite ove korake:

1. Instalirajte ažurirane definicije certifikata u bazu podataka.

   Ovaj će korak u UEFI certifikat "Baza podataka potpisa sigurnog pokretanja" (DB) dodati certifikat "Windows UEFI CA 2023". Dodavanjem ovog certifikata u BAZU podataka firmver uređaja smatrat će pouzdane aplikacije za pokretanje koje je potpisao ovaj certifikat.

   1. Otvorite administratorski naredbeni redak i postavite regkey za izvođenje ažuriranja u DB unosom sljedeće naredbe:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      VAŽAN Prije nastavka na 2. i 3. korak obavezno ponovno pokrenite uređaj da biste dovršili instalaciju ažuriranja.

   2. Pokrenite sljedeću naredbu powershell kao administrator i provjerite je li baza podataka uspješno ažurirana. Ova naredba mora vratiti True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Ažurirajte Upravitelj pokretanja na uređaju.

   Ovaj će korak instalirati aplikaciju upravitelja pokretanja na uređaj koji je potpisan certifikatom "'Windows UEFI CA 2023".

   1. Otvorite administratorski naredbeni redak i postavite ključ regkey da biste instalirali potpisani upravitelj pokretanja "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Dva puta ponovno pokrenite uređaj.

   3. Kao administrator montirajte EFI particiju da biste je pripremili za pregled:

      mountvol s: /s

   4. Provjerite je li datoteka "s:\efi\microsoft\boot\bootmgfw.efi" potpisana certifikatom "Windows UEFI CA 2023". Da biste to učinili, učinite sljedeće:

      1. Kliknite Start, u okvir Za pretraživanje upišitenaredbeni redak, a zatim kliknite Naredbeni redak.

      2. U prozor naredbenog retka upišite sljedeću naredbu, a zatim pritisnite Enter:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. U upravitelju datoteka desnom tipkom miša kliknite datoteku C:\bootmgfw_2023.efi, kliknite Svojstva, a zatim odaberite karticu Digitalni potpisi.

      4. Na popisu Potpis provjerite obuhvaća li lanac certifikata Windows UEFI CA 2023. Lanac certifikata trebao bi odgovarati sljedećoj snimci zaslona:
         
         

3. Omogućite opoziv.

   Zabranjeni popis UEFI-ja (DBX) koristi se za blokiranje učitavanja nepouzdanih UEFI modula. U ovom koraku ažuriranje DBX-a dodat će certifikat "Windows Production CA 2011" u DBX. To će uzrokovati da svi upravitelji pokretanja potpisani ovim certifikatom više nisu pouzdani.

   UPOZORENJE: prije primjene trećeg ublažavanja stvorite izbrisivi memorijski pogon za oporavak koji se može koristiti za pokretanje sustava. Informacije o tome kako to učiniti potražite u odjeljku Ažuriranje medija za instalaciju sustava Windows.

   Ako sustav prijeđe u stanje koje nije moguće pokrenuti, slijedite korake u odjeljku Postupak oporavka da biste uređaj vratili u stanje prije opoziva.

   1. Dodajte certifikat "Windows Production PCA 2011" na popis zabranjenih UEFI-ja za sigurno pokretanje (DBX). Da biste to učinili, otvorite prozore naredbenog retka kao administrator, upišite sljedeću naredbu, a zatim pritisnite Enter:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Ponovno pokrenite uređaj dva puta i provjerite je li se u potpunosti ponovno pokrenuo.

   3. Provjerite je li popis za instalaciju i opoziv uspješno primijenjen tako da u zapisniku događaja potražite događaj 1037.
      
      Informacije o događaju 1037 potražite u članku KB5016061: događaji ažuriranja za secure boot DB i DBX varijable. Ili pokrenite sljedeću naredbu komponente PowerShell kao administrator i provjerite vraća li true:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011' 

4. Primijenite svn ažuriranje na opremu.
   
   Upravitelj pokretanja implementiran u 2. koraku ima ugrađenu novu značajku samois pozivanja. Kada se upravitelj pokretanja pokrene, izvodi samoprocjenju usporedbom broja sigurne verzije (SVN- a) pohranjenog u firmveru, a SVN ugrađen u Upravitelj pokretanja. Ako je upravitelj pokretanja SVN manji od SVN-a pohranjenog u firmveru, upravitelj pokretanja neće se moći pokrenuti. Ta značajka sprječava napadača da vrati upravitelj pokretanja na stariju verziju koja nije ažurirana.
   
   U budućim ažuriranjima, kada je u upravitelju pokretanja riješen znatan sigurnosni problem, SVN broj povećavat će se u upravitelju pokretanja i ažuriranju programske opreme. Oba će ažuriranja biti objavljena u istom kumulativnom ažuriranju da bi se provjerilo jesu li zakrpama zaštićeni uređaji. Svaki put kada se SVN ažurira, bilo koji medij za pokretanje morat će se ažurirati.
   
   Počevši od ažuriranja od 9. srpnja 2024., SVN se povećava u upravitelju pokretanja i ažuriranju programske opreme. Ažuriranje programske opreme nije obavezno i može se primijeniti na sljedeći način:

   1. Otvorite administratorski naredbeni redak i pokrenite sljedeću naredbu da biste instalirali potpisani upravitelj pokretanja "'Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Dva puta ponovno pokrenite uređaj.

Medij za pokretanje

Kada faza implementacije započne u vašem okruženju, važno je ažurirati medij za pokretanje.

Smjernice za ažuriranje medija za pokretanje dolazi s budućim ažuriranjima ovog članka. Pogledajte sljedeći odjeljak za stvaranje USB pogona za oporavak uređaja.

Ažuriranje medija za instalaciju sustava Windows

Aplikaciju Stvaranje pogona za oporavak možete koristiti slijedeći ove korake. Taj se medij može koristiti za ponovnu instalaciju uređaja u slučaju da postoji veliki problem kao što je kvar na hardveru, da biste ponovno instalirali Windows, moći ćete koristiti pogon za oporavak.

1. Idite na uređaj na koji su primijenjena ažuriranja od 9. srpnja 2024. i prvi korak ublažavanja (ažuriranje baze podataka za sigurno pokretanje).

2. Na izborniku Start potražite aplet upravljačke ploče "Stvori pogon za oporavak" i slijedite upute za stvaranje pogona za oporavak.

3. Dok je novostvoreni izbrisivi memorijski pogon postavljen (npr. kao pogon "D:"), pokrenite sljedeće naredbe kao administrator. Upišite svaku od sljedećih naredbi, a zatim pritisnite Enter:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ako u okruženju upravljate medijem koji se može instalirati pomoću instalacijskog medija za ažuriranje sustava Windows sa smjernicama za dinamičko ažuriranje, slijedite ove korake. Ovim dodatnim koracima stvorit će se izbrisivi memorijski pogon za pokretanje koji koristi datoteke za pokretanje koje je potpisao certifikat za potpisivanje "Windows UEFI CA 2023".

1. Idite na uređaj na koji su primijenjena ažuriranja od 9. srpnja 2024. i prvi korak ublažavanja (ažuriranje baze podataka za sigurno pokretanje).

2. Slijedite korake u vezi u nastavku da biste stvorili medijske sadržaje s ažuriranjima od 9. srpnja 2024. Ažuriranje instalacijskog medija sustava Windows pomoću dinamičkog ažuriranja

3. Postavite sadržaj medija na USB usb pogon i postavite usb pogon kao slovo pogona. Primjerice, postavite usb pogon kao "D:".

4. Pokrenite sljedeće naredbe iz prozora naredbi kao administrator. Upišite svaku od sljedećih naredbi, a zatim pritisnite Enter.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Ako uređaj ima postavke sigurnog pokretanja na zadane postavke nakon primjene ublažavanja, uređaj se neće pokrenuti. Da biste riješili taj problem, aplikacija za popravak obuhvaćena je ažuriranjima od 9. srpnja 2024. koja se mogu koristiti za ponovnu primjenu certifikata "Windows UEFI CA 2023" na DB (ublažavanje #1).

1. Idite na uređaj na koji su primijenjena ažuriranja od 9. srpnja 2024.

2. U prozoru naredbe kopirajte aplikaciju za oporavak na izbrisivi memorijski pogon pomoću sljedećih naredbi (pod pretpostavkom da je izbrisivi memorijski pogon pogon "D:"). Svaku naredbu upišite zasebno, a zatim pritisnite Enter:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. Na uređaju sa zadanim postavkama sigurnog pokretanja umetnite izbrisivi memorijski pogon, ponovno pokrenite uređaj i pokrenite ga s izbrisivog memorijskog pogona.

Tempiranje ažuriranja

Ažuriranja se izdaju na sljedeći način:

• Početna implementacija Ta je faza započela s ažuriranjima objavljenima 9. svibnja 2023. i pružala osnovna ublažavanja s ručnim koracima za omogućavanje tih ublažavanja.

• Druga implementacija Ta je faza započela s ažuriranjima objavljenima 11. srpnja 2023., u kojoj su dodani pojednostavljeni koraci za omogućavanje ublažavanja problema.

• Faza procjene Ta će faza započeti 9. travnja 2024. i dodat će dodatna ublažavanja ublažavanja upravitelja pokretanja.

• Faza implementacije To je vrijeme kada ćemo potaknuti sve korisnike da započinju implementaciju ublažavanja i ažuriranja medija.

• Faza provođenja Faza provođenja zbog koje će ublažavanje biti trajno. Datum za ovu fazu objavit će se kasnije.

Napomena Raspored izdanja može se prema potrebi izmijeniti.

Pogreške zapisnika događaja u sustavu Windows povezane s CVE-2023-24932

Unosi zapisnika događaja u sustavu Windows koji se odnose na ažuriranje DB i DBX detaljno su opisani u članku KB5016061: događaji ažuriranja secure boot DB i DBX.

Događaji "uspjeh" povezani s primjenom ublažavanja navedeni su u sljedećoj tablici.

Najčešća pitanja (najčešća pitanja)

Otklanjanje poteškoća s pokretanjem

Nakon primjene sva tri ublažavanja, oprema uređaja neće se pokrenuti pomoću upravitelja pokretanja koji je potpisao Windows Production PCA 2011. Kvarovi pokretanja koje je prijavila oprema specifični su za uređaj. Pogledajte odjeljak Postupak oporavka .

Postupak oporavka

Ako nešto pođe po zlu tijekom primjene ublažavanja i ne možete pokrenuti uređaj ili morate početi od vanjskog medija (kao što je usb pogon ili PXE pokretanje), pokušajte sljedeće prijedloge:

1. Isključite sigurno pokretanje.
   
   Taj se postupak razlikuje od proizvođača uređaja do modela. Unesite izbornik UEFI BIOS uređaja i dođite do postavki sigurnog pokretanja i isključite ga. U dokumentaciji proizvođača uređaja potražite specifične informacije o tom postupku. Dodatne pojedinosti potražite u članku Onemogućivanje sigurnog pokretanja.

2. Vraćanje tipki sigurnog pokretanja na tvorničke postavke.

   Ako uređaj podržava vraćanje sigurnih tipki za pokretanje na tvorničke postavke, izvršite tu akciju odmah.

   BILJEŠKA Neki proizvođači uređaja imaju i mogućnost "Očisti" i "Ponovno postavi" za varijable sigurnog pokretanja, u kojem bi se slučaju trebalo koristiti "Ponovno postavljanje". Cilj je vratiti varijable sigurnog pokretanja na zadane vrijednosti proizvođača.

   Uređaj bi trebao početi odmah, ali imajte na umu da je izložen zlonamjernom softveru za pokretanje. Obavezno dovršite peti korak ovog postupka oporavka da biste ponovno omogućili sigurno pokretanje.

3. Pokušajte pokrenuti Windows s sistemskog diska.

   1. Prijava u Sustav Windows.

   2. Pokrenite sljedeće naredbe iz naredbenog retka administratora da biste vratili datoteke za pokretanje u efi particiji za pokretanje sustava. Svaku naredbu upišite zasebno, a zatim pritisnite Enter:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Pokretanjem BCDBoota vraća se poruka "Datoteke pokretanja uspješno su stvorene". Kada se prikaže ova poruka, ponovno pokrenite uređaj u sustav Windows.

4. Ako treći korak ne uspije oporaviti uređaj, ponovno instalirajte Windows.

   1. Pokrenite uređaj s postojećeg medija za oporavak.

   2. Nastavite s instalacijom sustava Windows pomoću medija za oporavak.

   3. Prijava u Sustav Windows.

   4. Ponovno pokrenite Windows da biste provjerili pokreće li se uređaj na Windows.

5. Ponovno omogućite sigurno pokretanje i ponovno pokrenite uređaj.
   
   Unesite izbornik UEFI uređaja i dođite do postavki sigurnog pokretanja i uključite ga. U dokumentaciji proizvođača uređaja potražite specifične informacije o tom postupku. Dodatne informacije potražite u odjeljku "Ponovno omogući sigurno pokretanje".

Reference

• Smjernice za istraživanje napada pomoću cve-2022-21894: Kampanja BlackLotus

• Sigurno pokretanje

• Omogućivanje sigurnog pokretanja na registriranim uređajima sa sustavom Windows

• Za događaje koji se generiraju prilikom primjene DBX ažuriranja pogledajte članak KB5016061: Adresiranje ranjivih i opozvanih upravitelja pokretanja.