KB5025885. Управление отзывами диспетчера загрузки Windows для изменений безопасной загрузки, связанных с CVE-2023-24932

В этой статье

• Сводка

  • Действие

  • Область воздействия

  • Понимание рисков

  • Известные проблемы

• Рекомендации по этому выпуску

• Рекомендации по развертыванию мер по устранению рисков

• Загрузочный носитель

• Обновление установного носителя Windows

• Сроки обновления

• Ошибки журнала событий Windows, связанные с CVE-2023-24932

• Часто задаваемые вопросы

• Устранение неполадок с загрузкой

• Процедура восстановления

• Ссылки

• Журнал изменений

Сводка

В этой статье описывается защита от общедоступного обхода функции безопасности безопасной загрузки, которая использует загрузочный код BlackLotus UEFI, отслеживаемый CVE-2023-24932, как включить средства устранения рисков, а также руководство по загрузочному носителю. Bootkit — это вредоносная программа, которая предназначена для загрузки как можно раньше в последовательности загрузки устройств для управления запуском операционной системы.

Безопасная загрузка рекомендуется корпорацией Майкрософт для создания безопасного и надежного пути от единого расширяемого интерфейса встроенного ПО (UEFI) через последовательность доверенной загрузки ядра Windows. Безопасная загрузка помогает предотвратить вредоносные программы bootkit в последовательности загрузки. Отключение безопасной загрузки ставит устройство под угрозу заражения вредоносными программами bootkit. Исправление обхода безопасной загрузки, описанного в CVE-2023-24932, требует отзыва диспетчеров загрузки. Это может вызвать проблемы для некоторых конфигураций загрузки устройств.

Устранение рисков обхода безопасной загрузки, подробно описанное в CVE-2023-24932 , включены в обновления для системы безопасности Windows, выпущенные 9 июля 2024 г. или позже. Однако эти способы устранения рисков не включены по умолчанию. С помощью этих обновлений рекомендуется начать оценку этих изменений в среде. Полное расписание описано в разделе Время обновления .

Прежде чем включить эти меры по устранению рисков, следует тщательно изучить сведения, приведенные в этой статье, и определить, нужно ли включить эти меры по устранению рисков или дождаться будущих обновлений от корпорации Майкрософт. Если вы решили включить меры по устранению рисков, необходимо убедиться, что устройства обновлены и готовы, а также понимать риски, описанные в этой статье. 

Рекомендации по этому выпуску

Для этого выпуска выполните следующие два шага.

Шаг 1. Установка обновления для системы

безопасности Windows Установите ежемесячное обновление для системы безопасности Windows, выпущенное 9 июля 2024 г. или позже, на поддерживаемых устройствах Windows. Эти обновления включают в себя устранение рисков для CVE-2023-24932, но не включены по умолчанию. Все устройства Windows должны выполнить этот шаг независимо от того, планируется ли развертывание мер по устранению рисков.

Шаг 2. Оценка изменений

Мы рекомендуем сделать следующее:

• Изучите первые два способа устранения рисков, которые позволяют обновить базу данных безопасной загрузки и диспетчер загрузки.

• Просмотрите обновленное расписание.

• Начните тестирование первых двух способов устранения рисков для репрезентативных устройств из вашей среды.

• Начните планирование развертывания.

Шаг 3. Принудительное применение изменений

Мы рекомендуем вам понять риски, которые описаны в разделе Понимание рисков.

• Изучите влияние на восстановление и другие загрузочные носители.

• Начните тестирование третьего средства устранения рисков, которое не соответствует сертификату подписи, используемому для всех предыдущих диспетчеров загрузки Windows.

Рекомендации по развертыванию мер по устранению рисков

Прежде чем выполнить эти действия для применения мер, установите ежемесячное обновление windows, выпущенное 9 июля 2024 г. или позже, на поддерживаемых устройствах Windows. Это обновление включает меры по устранению рисков для CVE-2023-24932, но они не включены по умолчанию. Все устройства Windows должны выполнить этот шаг независимо от вашего плана, чтобы включить меры по устранению рисков.

Чтобы развернуть обновление и применить отмены, выполните следующие действия.

1. Установите обновленные определения сертификатов в базу данных.

   На этом шаге будет добавлен сертификат Windows UEFI CA 2023 в базу данных UEFI Secure Boot Signature Database (DB). Добавив этот сертификат в базу данных, встроенное ПО устройства будет доверять загрузочным приложениям, подписанным этим сертификатом.

   1. Откройте командную строку администратора и задайте regkey для выполнения обновления базы данных, введя следующую команду:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      ВАЖНЫЙ Не забудьте перезапустить устройство два раза, чтобы завершить установку обновления, прежде чем переходить к шагам 2 и 3.

   2. Выполните следующую команду PowerShell от имени администратора и убедитесь, что база данных успешно обновлена. Эта команда должна возвращать значение True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Обновите диспетчер загрузки на устройстве.

   На этом шаге на устройстве будет установлено приложение диспетчера загрузки, подписанное с помощью сертификата "Windows UEFI CA 2023".

   1. Откройте командную строку администратора и задайте ключ, чтобы установить подписанный диспетчер загрузки windows UEFI CA 2023:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Перезапустите устройство два раза.

   3. Как администратор, подключите раздел EFI, чтобы подготовить его к проверке:

      mountvol s: /s

   4. Убедитесь, что файл "s:\efi\microsoft\boot\bootmgfw.efi" подписан сертификатом Windows UEFI CA 2023. Для этого выполните указанные ниже действия.

      1. Нажмите кнопку Пуск, введите командную строку в поле Поиска и выберите командная строка.

      2. В окне командной строки введите следующую команду и нажмите клавишу ВВОД:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. В диспетчере файлов щелкните правой кнопкой мыши файл C:\bootmgfw_2023.efi, выберите пункт Свойства, а затем выберите вкладку Цифровые подписи .

      4. В списке Подпись убедитесь, что цепочка сертификатов включает Windows UEFI CA 2023. Цепочка сертификатов должна соответствовать следующему снимку экрана:
         
         

3. Включите отзыв.

   Список запрещенных UEFI (DBX) используется для блокировки загрузки ненадежных модулей UEFI. На этом шаге при обновлении DBX в DBX будет добавлен сертификат Windows Production CA 2011. Это приведет к тому, что все диспетчеры загрузки, подписанные этим сертификатом, больше не будут доверенными.

   ПРЕДУПРЕЖДЕНИЕ. Перед применением третьего решения создайте флэш-накопитель для восстановления, которое можно использовать для загрузки системы. Дополнительные сведения о том, как это сделать, см. в разделе Обновление установок носителя Windows.

   Если система переходит в незагрузочное состояние, выполните действия, описанные в разделе Процедура восстановления, чтобы сбросить устройство в состояние предварительного отзыва.

   1. Добавьте сертификат Windows Production PCA 2011 в список запрещенных UEFI (DBX). Для этого откройте окно командной строки от имени администратора, введите следующую команду и нажмите клавишу ВВОД:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Перезапустите устройство два раза и убедитесь, что оно полностью перезагрузилось.

   3. Убедитесь, что список установки и отзыва успешно применен, найдите событие 1037 в журнале событий.
      
      Сведения о событии 1037 см. в разделе KB5016061: События обновления переменной db и DBX. Или выполните следующую команду PowerShell от имени администратора и убедитесь, что возвращается значение True:

      [System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI dbx).bytes) - соответствие "Microsoft Windows Production PCA 2011" 

4. Примените обновление SVN к встроенному ПО.
   
   Диспетчер загрузки, развернутый на шаге 2, имеет новую встроенную функцию самостоятельного отзыва. Когда диспетчер загрузки запускается, он выполняет самостоятельную проверку, сравнивая номер безопасной версии (SVN), хранящийся в встроенном ПО, с SVN, встроенным в диспетчер загрузки. Если SVN диспетчера загрузки меньше, чем SVN, хранящийся в встроенном ПО, диспетчер загрузки откажется выполнять. Эта функция не позволяет злоумышленнику выполнить откат диспетчера загрузки до более старой, не обновленной версии.
   
   В будущих обновлениях, когда в диспетчере загрузки будет устранена значительная проблема с безопасностью, номер SVN будет увеличиваться как в диспетчере загрузки, так и в обновлении встроенного ПО. Оба обновления будут выпущены в одном накопительном обновлении, чтобы обеспечить защиту устройств с исправлениями. При каждом обновлении SVN необходимо обновлять все загрузочные носители.
   
   Начиная с обновления от 9 июля 2024 г. svN увеличивается в диспетчере загрузки и обновляется встроенное ПО. Обновление встроенного ПО является необязательным. Его можно применить, выполнив следующие действия.

   1. Откройте командную строку администратора и выполните следующую команду, чтобы установить диспетчер загрузки со знаком "Windows UEFI CA 2023":

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f

   2. Перезапустите устройство два раза.

Загрузочный носитель

Важно обновить загрузочный носитель после начала этапа развертывания в вашей среде.

Руководство по обновлению загрузочного носителя будет доступно с последующими обновлениями этой статьи. Сведения о создании USB-накопителя для восстановления устройства см. в следующем разделе.

Обновление установного носителя Windows

Вы можете использовать приложение Create Recovery Drive (Создать диск восстановления ), выполнив следующие действия. Этот носитель можно использовать для переустановки устройства, если возникла серьезная проблема, например сбой оборудования, вы сможете использовать диск восстановления для переустановки Windows.

1. Перейдите на устройство, на котором были применены обновления от 9 июля 2024 г. и первый шаг по устранению рисков (обновление базы данных безопасной загрузки).

2. В меню Пуск найдите апплет панели управления "Создание диска восстановления" и следуйте инструкциям по созданию диска восстановления.

3. После подключения только что созданного флэш-накопителя (например, как диск "D:"), выполните следующие команды от имени администратора. Введите каждую из следующих команд и нажмите клавишу ВВОД:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Если вы управляете устанавливаемым носителем в своей среде с помощью руководства по обновлению установочного носителя Windows с помощью динамического обновления , выполните следующие действия. Эти дополнительные действия помогут создать загрузочное устройство флэш-памяти, использующее загрузочные файлы, подписанные сертификатом подписи Windows UEFI CA 2023.

1. Перейдите на устройство, на котором были применены обновления от 9 июля 2024 г. и первый шаг по устранению рисков (обновление базы данных безопасной загрузки).

2. Выполните действия по ссылке ниже, чтобы создать носитель с обновлениями от 9 июля 2024 г. Обновление установочного носителя Windows с помощью динамического обновления

3. Поместите содержимое носителя на USB-накопитель и подключите его в качестве буквы диска. Например, подключите диск с большим пальцем как "D:".

4. Выполните следующие команды в командном окне от имени администратора. Введите каждую из следующих команд и нажмите клавишу ВВОД.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Если после применения мер защиты устройство сбрасывает параметры безопасной загрузки до значений по умолчанию, устройство не загружается. Чтобы устранить эту проблему, в состав обновлений от 9 июля 2024 г. входит приложение восстановления, которое можно использовать для повторного применения сертификата Windows UEFI CA 2023 в базе данных (устранение неполадок No 1).

1. Перейдите на устройство, на котором были применены обновления от 9 июля 2024 г.

2. В командном окне скопируйте приложение восстановления на флэш-накопитель с помощью следующих команд (при условии, что флэш-накопитель является диском "D:"). Введите каждую команду отдельно и нажмите клавишу ВВОД:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. На устройстве, для которого параметры безопасной загрузки сбрасываются до значений по умолчанию, вставьте флэш-накопитель, перезагрузите устройство и загрузите его с флэш-памяти.

Сроки обновления

Обновления выпускаются следующим образом:

• Начальное развертывание Этот этап начался с обновлений, выпущенных 9 мая 2023 г., и для включения этих мер были предоставлены основные действия по устранению рисков вручную.

• Второе развертывание Этот этап начался с обновлений, выпущенных 11 июля 2023 г., которые добавили упрощенные шаги по устранению проблемы.

• Этап оценки Этот этап начнется 9 апреля 2024 г. и добавит дополнительные меры по устранению рисков диспетчера загрузки.

• Этап развертывания Именно тогда мы будем поощрять всех клиентов к развертыванию мер по устранению рисков и обновлению носителя.

• Этап принудительного применения Этап принудительного применения, который сделает устранение рисков постоянным. Дата этого этапа будет объявлена позже.

Примечание Расписание выпуска может быть изменено при необходимости.

Ошибки журнала событий Windows, связанные с CVE-2023-24932

Записи журнала событий Windows, связанные с обновлением базы данных и DBX, подробно описаны в KB5016061: События обновления переменной безопасной загрузки и DBX.

События успеха, связанные с применением мер по устранению рисков, перечислены в следующей таблице.

Часто задаваемые вопросы

Устранение неполадок с загрузкой

После применения всех трех мер по устранению рисков встроенное ПО устройства не будет загружаться с помощью диспетчера загрузки, подписанного Windows Production PCA 2011. Сбои загрузки, о которых сообщает встроенное ПО, зависят от устройства. См. раздел Процедура восстановления .

Процедура восстановления

Если что-то пошло не так при применении мер, и вы не можете запустить устройство или вам нужно начать с внешнего носителя (например, с диска большого пальца или загрузки PXE), попробуйте выполнить следующие действия.

1. Отключите безопасную загрузку.
   
   Эта процедура отличается в разных производителях устройств и моделях. Войдите в меню UEFI BIOS для своих устройств, перейдите к параметрам безопасной загрузки и отключите его. Сведения об этом процессе см. в документации от производителя устройства. Дополнительные сведения см. в разделе Отключение безопасной загрузки.

2. Сбросьте ключи безопасной загрузки до заводских значений по умолчанию.

   Если устройство поддерживает сброс ключей безопасной загрузки до заводских значений по умолчанию, выполните это действие сейчас.

   ЗАМЕТКА Некоторые производители устройств имеют параметр "Очистить" и "Сброс" для переменных безопасной загрузки, и в этом случае следует использовать "Reset". Цель состоит в том, чтобы вернуть переменные безопасной загрузки к значениям производителей по умолчанию.

   Устройство должно запуститься сейчас, но обратите внимание, что оно уязвимо для вредоносных программ загрузочного комплекта. Обязательно выполните шаг 5 этого процесса восстановления, чтобы повторно включить безопасную загрузку.

3. Попробуйте запустить Windows с системного диска.

   1. Вход в Windows.

   2. Выполните следующие команды из командной строки администратора, чтобы восстановить загрузочные файлы в системном загрузочном разделе EFI. Введите каждую команду отдельно и нажмите клавишу ВВОД:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. При выполнении BCDBoot возвращается сообщение "Загрузочные файлы успешно созданы". После отображения этого сообщения перезапустите устройство обратно в Windows.

4. Если шаг 3 не удалось восстановить устройство, переустановите Windows.

   1. Запустите устройство с существующего носителя для восстановления.

   2. Перейдите к установке Windows с помощью носителя восстановления.

   3. Вход в Windows.

   4. Перезапустите Windows, чтобы убедиться, что устройство запускается обратно в Windows.

5. Повторно включите безопасную загрузку и перезапустите устройство.
   
   Войдите в меню UEFI устройства, перейдите к параметрам безопасной загрузки и включите его. Сведения об этом процессе см. в документации от производителя устройства. Дополнительные сведения см. в разделе "Повторное включение безопасной загрузки".

Ссылки

• Руководство по расследованию атак с помощью CVE-2022-21894: кампания BlackLotus

• Безопасная загрузка

• Включение безопасной загрузки на зарегистрированных устройствах Windows

• Сведения о событиях, создаваемых при применении обновлений DBX, см. в разделе KB5016061: устранение уязвимых и отозванных диспетчеров загрузки.