KB5025885. Управление отзывами диспетчера загрузки Windows для изменений безопасной загрузки, связанных с CVE-2023-24932

В этой статье

• Сводка

  • Действие

  • Область воздействия

  • Понимание рисков

  • Известные проблемы

• Рекомендации по этому выпуску

• Рекомендации по развертыванию мер по устранению рисков

• Загрузочный носитель

• Обновление установного носителя Windows

• Сроки обновления

• Ошибки журнала событий Windows, связанные с CVE-2023-24932

• Часто задаваемые вопросы

• Устранение неполадок с загрузкой

• Процедура восстановления

• Ссылки

• Журнал изменений

Сводка

В этой статье описывается защита от общедоступного обхода функции безопасности безопасной загрузки, которая использует загрузочный код BlackLotus UEFI, отслеживаемый CVE-2023-24932, как включить средства устранения рисков, а также руководство по загрузочному носителю. Bootkit — это вредоносная программа, которая предназначена для загрузки как можно раньше в последовательности загрузки устройств для управления запуском операционной системы.

Безопасная загрузка рекомендуется корпорацией Майкрософт для создания безопасного и надежного пути от единого расширяемого интерфейса встроенного ПО (UEFI) через последовательность доверенной загрузки ядра Windows. Безопасная загрузка помогает предотвратить вредоносные программы bootkit в последовательности загрузки. Отключение безопасной загрузки ставит устройство под угрозу заражения вредоносными программами bootkit. Исправление обхода безопасной загрузки, описанного в CVE-2023-24932, требует отзыва диспетчеров загрузки. Это может вызвать проблемы для некоторых конфигураций загрузки устройств.

Меры по устранению рисков обхода безопасной загрузки, описанные в CVE-2023-24932 , включены в обновления для системы безопасности Windows, выпущенные 9 апреля 2024 г. или позже. Однако эти способы устранения рисков не включены по умолчанию. С помощью этих обновлений рекомендуется начать оценку этих изменений в среде. Полное расписание описано в разделе Время обновления .

Прежде чем включить эти меры по устранению рисков, следует тщательно изучить сведения, приведенные в этой статье, и определить, нужно ли включить эти меры по устранению рисков или дождаться будущих обновлений от корпорации Майкрософт. Если вы решили включить меры по устранению рисков, необходимо убедиться, что устройства обновлены и готовы, а также понимать риски, описанные в этой статье. 

Рекомендации по этому выпуску

Для этого выпуска выполните следующие два шага.

Шаг 1. Установка обновления для системы

безопасности Windows Установите ежемесячное обновление для системы безопасности Windows, выпущенное 9 апреля 2024 г. или позже на поддерживаемых устройствах Windows. Эти обновления включают в себя устранение рисков для CVE-2023-24932, но не включены по умолчанию. Все устройства Windows должны выполнить этот шаг независимо от того, планируется ли развертывание мер по устранению рисков.

Шаг 2. Оценка изменений

Мы рекомендуем сделать следующее:

• Изучите первые два способа устранения рисков, которые позволяют обновить базу данных безопасной загрузки и диспетчер загрузки.

• Просмотрите обновленное расписание.

• Начните тестирование первых двух способов устранения рисков для репрезентативных устройств из вашей среды.

• Начните планирование этапа развертывания, который будет выполняться 9 июля 2024 г.

Шаг 3. Принудительное применение изменений

Мы рекомендуем вам понять риски, которые описаны в разделе Понимание рисков.

• Изучите влияние на восстановление и другие загрузочные носители.

• Начните тестирование третьего средства устранения рисков, которое не соответствует сертификату подписи, используемому для всех предыдущих диспетчеров загрузки Windows.

Рекомендации по развертыванию мер по устранению рисков

Прежде чем выполнить эти действия для применения мер, установите ежемесячное обновление windows, выпущенное 9 апреля 2024 г. или позже на поддерживаемых устройствах Windows. Это обновление включает меры по устранению рисков для CVE-2023-24932, но они не включены по умолчанию. Все устройства Windows должны выполнить этот шаг независимо от вашего плана, чтобы включить меры по устранению рисков.

Чтобы развернуть обновление и применить отмены, выполните следующие действия.

1. Установите обновленные определения сертификатов в базу данных.

   На этом шаге будет добавлен сертификат Windows UEFI CA 2023 в базу данных UEFI Secure Boot Signature Database (DB). Добавив этот сертификат в базу данных, встроенное ПО устройства будет доверять загрузочным приложениям, подписанным этим сертификатом.

   1. Откройте командную строку администратора и задайте regkey для выполнения обновления базы данных, введя следующую команду:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      ВАЖНО Не забудьте перезапустить устройство два раза, чтобы завершить установку обновления, прежде чем переходить к шагам 2 и 3.

   2. Выполните следующую команду PowerShell от имени администратора и убедитесь, что база данных успешно обновлена. Эта команда должна возвращать значение True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Обновите диспетчер загрузки на устройстве.

   На этом шаге на устройстве будет установлено приложение диспетчера загрузки, подписанное с помощью сертификата "Windows UEFI CA 2023".

   1. Откройте командную строку администратора и задайте ключ, чтобы установить подписанный диспетчер загрузки windows UEFI CA 2023:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Перезапустите устройство два раза.

   3. Как администратор, подключите раздел EFI, чтобы подготовить его к проверке:

      mountvol s: /s

   4. Убедитесь, что файл "s:\efi\microsoft\boot\bootmgfw.efi" подписан сертификатом Windows UEFI CA 2023. Для этого выполните указанные ниже действия.

      1. Нажмите кнопку Пуск, введите командную строку в поле Поиск, а затем выберите командная строка.

      2. В окне командной строки введите следующую команду и нажмите клавишу ВВОД:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. В диспетчере файлов щелкните правой кнопкой мыши файл C:\bootmgfw_2023.efi, выберите пункт Свойства, а затем выберите вкладку Цифровые подписи .

      4. В списке Подпись убедитесь, что цепочка сертификатов включает Windows UEFI CA 2023. Цепочка сертификатов должна соответствовать следующему снимку экрана:
         
         

3. Включите отзыв.

   Список запрещенных UEFI (DBX) используется для блокировки загрузки ненадежных модулей UEFI. На этом шаге при обновлении DBX в DBX будет добавлен сертификат Windows Production CA 2011. Это приведет к тому, что все диспетчеры загрузки, подписанные этим сертификатом, больше не будут доверенными.

   ПРЕДУПРЕЖДЕНИЕ. Перед применением третьего решения создайте флэш-накопитель для восстановления, которое можно использовать для загрузки системы. Дополнительные сведения о том, как это сделать, см. в разделе Обновление установок носителя Windows.

   Если система переходит в незагрузочное состояние, выполните действия, описанные в разделе Процедура восстановления, чтобы сбросить устройство в состояние предварительного отзыва.

   1. Добавьте сертификат Windows Production PCA 2011 в список запрещенных UEFI (DBX). Для этого откройте окно командной строки от имени администратора, введите следующую команду и нажмите клавишу ВВОД:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Перезапустите устройство два раза и убедитесь, что оно полностью перезагрузилось.

   3. Убедитесь, что список установки и отзыва успешно применен, найдите событие 1037 в журнале событий.
      
      Сведения о событии 1037 см. в разделе KB5016061: События обновления переменной db и DBX. Или выполните следующую команду PowerShell от имени администратора и убедитесь, что возвращается значение True:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Загрузочный носитель

Важно обновить загрузочный носитель после начала этапа развертывания в вашей среде. Руководство и средства по обновлению носителя будут предоставлены вовремя к этапу развертывания. Этап развертывания должен начаться 9 июля 2024 г.

Примеры загрузочных носителей и носителей восстановления, затронутых этой проблемой:

• Загрузочный носитель, созданный с помощью команды Создать диск восстановления.

• Резервные копии Windows, которые были созданы до применения мер по устранению рисков. Они не будут напрямую использоваться для восстановления установки Windows после включения отзывов на вашем устройстве.

• Пользовательский cd/DVD-диск или раздел восстановления, созданный вами, производителем устройства (OEM) или предприятиями.

• ISO (путем скачивания или с помощью ADK).

• Сетевая загрузка:

  • Службы развертывания Windows.

  • Службы загрузки среды выполнения предварительной загрузки (службы загрузки PXE).

  • Microsoft Deployment Toolkit.

  • Загрузка HTTPS.

• Установочный и восстанавливаемой носитель OEM.

• Официальные носители Windows от корпорации Майкрософт, в том числе:

  • Средства массовой информации для розничной торговли.

  • Средство создания носителя (ISO- или USB-накопитель).

  • VLSC.

  • Скачивание подписчика Visual Studio.

  • USB-накопитель.

• Среда предустановки Windows.

• Windows, установленная на физическом оборудовании или виртуальных машинах.

• ОС проверки Windows.

Если вы используете загрузочный носитель с личным устройством Windows, перед применением отзыва может потребоваться выполнить одно или несколько из следующих действий:

• Если вы используете личное программное обеспечение резервного копирования для сохранения содержимого устройства, обязательно выполните полную резервную копию после применения мер по устранению рисков от 9 апреля 2024 г.

• Если вы используете загрузочный образ диска (ISO), компакт-диск или DVD-носитель, обновите носитель, следуя инструкциям, которые будут предоставлены позже.

Для крупных предприятий

• Ознакомьтесь с подробными рекомендациями и скриптами для обновления установочного носителя Windows с помощью динамического обновления.

• Если в вашей среде поддерживаются сценарии загрузки или восстановления сети, вам потребуется обновить все носители и образы. Это может включать следующие параметры загрузки или восстановления:

  • Microsoft Deployment Toolkit.

  • Microsoft Endpoint Configuration Manager.

  • Службы развертывания Windows.

  • PxE Boot.

  • Загрузка ПО HTTPS и другие сценарии загрузки сети.

• Один из способов сделать это — использовать автономную установку пакета DISM для образов, обслуживаемых этими сценариями. Сюда входит обновление загрузочных файлов, предлагаемых этими службами.

• Если вы используете программное обеспечение резервного копирования для сохранения содержимого установки Windows в образ восстановления, обязательно выполните полную резервную копию после применения мер по устранению рисков от 9 апреля 2024 г. Обязательно создайте резервную копию раздела диска EFI в дополнение к разделу операционной системы Windows. Четко определите резервные копии, сделанные до применения 9 апреля 2024 г. мер по сравнению с теми, которые были сделаны после применения мер.

Изготовители компьютеров Windows

• Ознакомьтесь с подробными рекомендациями и скриптами для обновления установочного носителя Windows с помощью динамического обновления.

Обновление установного носителя Windows

Вы можете использовать приложение Create Recovery Drive (Создать диск восстановления ), выполнив следующие действия. Этот носитель можно использовать для переустановки устройства. Если возникла серьезная проблема, например сбой оборудования, вы сможете использовать диск восстановления для переустановки Windows.

1. Перейдите на устройство, на котором были применены обновления от 9 апреля 2024 г. и первый шаг по устранению рисков (обновление базы данных безопасной загрузки).

2. В меню Пуск найдите апплет "Создать диск восстановления" и следуйте инструкциям по созданию диска восстановления.

3. После подключения только что созданного флэш-накопителя (например, как диск "D:"), выполните следующие команды от имени администратора. Введите каждую из следующих команд и нажмите клавишу ВВОД:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Если вы управляете устанавливаемым носителем в своей среде с помощью руководства по обновлению установочного носителя Windows с помощью динамического обновления , выполните следующие действия. Эти дополнительные действия помогут создать загрузочное устройство флэш-памяти, использующее загрузочные файлы, подписанные сертификатом подписи Windows UEFI CA 2023.

1. Перейдите на устройство, на котором были применены обновления от 9 апреля 2024 г. и первый шаг по устранению рисков (обновление базы данных безопасной загрузки).

2. Выполните действия по ссылке ниже, чтобы создать носитель с обновлениями от 9 апреля 2024 г. Обновление установочного носителя Windows с помощью динамического обновления

3. Поместите содержимое носителя на USB-накопитель и подключите его в качестве буквы диска. Например, подключите диск с большим пальцем как "D:".

4. Выполните следующие команды в командном окне от имени администратора. Введите каждую из следующих команд и нажмите клавишу ВВОД.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Если после применения мер защиты устройство сбрасывает параметры безопасной загрузки до значений по умолчанию, устройство не загружается. Чтобы устранить эту проблему, в состав обновлений от 9 апреля 2024 г. входит приложение восстановления, которое можно использовать для повторного применения сертификата Windows UEFI CA 2023 в базе данных (устранение неполадок No 1).

1. Перейдите на устройство, на котором были применены обновления от 9 апреля 2024 г.

2. В командном окне скопируйте приложение восстановления на флэш-накопитель с помощью следующих команд (при условии, что флэш-накопитель является диском "D:"). Введите каждую команду отдельно и нажмите клавишу ВВОД:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. На устройстве, для которого параметры безопасной загрузки сбрасываются до значений по умолчанию, вставьте флэш-накопитель, перезагрузите устройство и загрузите его с флэш-памяти.

Сроки обновления

Обновления выпускаются следующим образом:

• Начальное развертывание Этот этап начался с обновлений, выпущенных 9 мая 2023 г., и для включения этих мер были предоставлены основные действия по устранению рисков вручную.

• Второе развертывание Этот этап начался с обновлений, выпущенных 11 июля 2023 г., которые добавили упрощенные шаги по устранению проблемы.

• Этап оценки Этот этап начнется 9 апреля 2024 г. и добавит дополнительные меры по устранению рисков диспетчера загрузки.

• Заключительный этап развертывания Именно тогда мы будем поощрять всех клиентов к развертыванию мер по устранению рисков и обновлению носителя.

• Этап принудительного применения Этап принудительного применения, который сделает устранение рисков постоянным. Дата этого этапа будет объявлена позже.

Примечание Расписание выпуска может быть изменено при необходимости.

Ошибки журнала событий Windows, связанные с CVE-2023-24932

Записи журнала событий Windows, связанные с обновлением базы данных и DBX, подробно описаны в KB5016061: События обновления переменной безопасной загрузки и DBX.

События успеха, связанные с применением мер по устранению рисков, перечислены в следующей таблице.

Часто задаваемые вопросы

Устранение неполадок с загрузкой

После применения всех трех мер по устранению рисков встроенное ПО устройства не будет загружаться с помощью диспетчера загрузки, подписанного Windows Production PCA 2011. Сбои загрузки, о которых сообщает встроенное ПО, зависят от устройства. См. раздел Процедура восстановления .

Процедура восстановления

Если что-то пошло не так при применении мер, и вы не можете запустить устройство или вам нужно начать с внешнего носителя (например, с диска большого пальца или загрузки PXE), попробуйте выполнить следующие действия.

1. Отключите безопасную загрузку.
   
   Эта процедура отличается в разных производителях устройств и моделях. Войдите в меню UEFI BIOS для своих устройств, перейдите к параметрам безопасной загрузки и отключите его. Сведения об этом процессе см. в документации от производителя устройства. Дополнительные сведения см. в разделе Отключение безопасной загрузки.

2. Сбросьте ключи безопасной загрузки до заводских значений по умолчанию.

   Если устройство поддерживает сброс ключей безопасной загрузки до заводских значений по умолчанию, выполните это действие сейчас.

   ПРИМЕЧАНИЕ Некоторые производители устройств имеют параметр "Очистить" и "Сброс" для переменных безопасной загрузки, и в этом случае следует использовать "Reset". Цель состоит в том, чтобы вернуть переменные безопасной загрузки к значениям производителей по умолчанию.

   Устройство должно запуститься сейчас, но обратите внимание, что оно уязвимо для вредоносных программ загрузочного комплекта. Обязательно выполните шаг 5 этого процесса восстановления, чтобы повторно включить безопасную загрузку.

3. Попробуйте запустить Windows с системного диска.

   1. Вход в Windows.

   2. Выполните следующие команды из командной строки администратора, чтобы восстановить загрузочные файлы в системном загрузочном разделе EFI. Введите каждую команду отдельно и нажмите клавишу ВВОД:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. При выполнении BCDBoot возвращается сообщение "Загрузочные файлы успешно созданы". После отображения этого сообщения перезапустите устройство обратно в Windows.

4. Если шаг 3 не удалось восстановить устройство, переустановите Windows.

   1. Запустите устройство с существующего носителя для восстановления.

   2. Перейдите к установке Windows с помощью носителя восстановления.

   3. Вход в Windows.

   4. Перезапустите Windows, чтобы убедиться, что устройство запускается обратно в Windows.

5. Повторно включите безопасную загрузку и перезапустите устройство.
   
   Войдите в меню UEFI устройства, перейдите к параметрам безопасной загрузки и включите его. Сведения об этом процессе см. в документации от производителя устройства. Дополнительные сведения см. в разделе "Повторное включение безопасной загрузки".

Ссылки

• Руководство по расследованию атак с помощью CVE-2022-21894: кампания BlackLotus

• Безопасная загрузка

• Включение безопасной загрузки на зарегистрированных устройствах Windows

• Сведения о событиях, создаваемых при применении обновлений DBX, см. в разделе KB5016061: устранение уязвимых и отозванных диспетчеров загрузки.