KB5025885: Så här hanterar du återkallning av Windows Boot Manager för säker start-ändringar som är associerade med CVE-2023-24932

I denna artikel

• Sammanfattning

  • Vidta åtgärder

  • Påverkans omfattning

  • Förstå riskerna

  • Kända problem

• Riktlinjer för den här versionen

• Riktlinjer för begränsningsdistribution

• Startbart medium

• Uppdatera Installationsmedia för Windows

• Tidsinställning för uppdateringar

• Windows-händelseloggfel relaterade till CVE-2023-24932

• Vanliga frågor och svar

• Felsöka startproblem

• Återställningsprocedur

• Referenser

• Ändra logg

Sammanfattning

I den här artikeln beskrivs skyddet mot den offentligt offentliggjorda säkerhetsfunktionen för säker start som använder BlackLotus UEFI bootkit som spåras av CVE-2023-24932, hur du aktiverar lösningarna och vägledning för startbara medier. Ett bootkit är ett skadligt program som är utformat för att läsas in så tidigt som möjligt i en startsekvens för enheter för att styra operativsystemets start.

Säker start rekommenderas av Microsoft för att skapa en säker och betrodd sökväg från Unified Extensible Firmware Interface (UEFI) till Windows kernel Trusted Boot-sekvensen. Säker start hjälper till att förhindra bootkit-skadlig kod i startsekvensen. Om du inaktiverar Säker start riskerar en enhet att smittas av bootkit-skadlig kod. Åtgärdar förbikoppling av säker start som beskrivs i CVE-2023-24932 kräver att starthanterare återkallas. Det kan orsaka problem för vissa konfigurationer av enhetsstart.

Åtgärder mot förbikoppling av säker start som beskrivs i CVE-2023-24932 ingår i Windows säkerhetsuppdateringar som släpptes den 9 april 2024 eller senare. De här lösningarna är dock inte aktiverade som standard. Med de här uppdateringarna rekommenderar vi att du börjar utvärdera de här ändringarna i din miljö. Hela schemat beskrivs i avsnittet Tidsinställning för uppdateringar .

Innan du aktiverar de här lösningarna bör du noggrant granska informationen i den här artikeln och avgöra om du måste aktivera lösningarna eller vänta på en framtida uppdatering från Microsoft. Om du väljer att aktivera lösningarna måste du kontrollera att dina enheter är uppdaterade och klara och förstå riskerna som beskrivs i den här artikeln. 

Riktlinjer för den här versionen

Följ de här två stegen för den här versionen.

Steg 1: Installera Windows-säkerhetsuppdateringen

Installera Windows månatliga säkerhetsuppdatering som släpptes den 9 april 2024 eller senare på Windows-enheter som stöds. De här uppdateringarna innehåller lösningar för CVE-2023-24932 men är inte aktiverade som standard. Alla Windows-enheter bör slutföra det här steget oavsett om du planerar att distribuera lösningarna eller inte.

Steg 2: Utvärdera ändringarna

Vi rekommenderar att du gör följande:

• Förstå de två första lösningarna som tillåter uppdatering av DB för säker start och uppdatering av starthanteraren.

• Granska det uppdaterade schemat.

• Börja testa de två första lösningarna mot representativa enheter från din miljö.

• Börja planera för distributionsfasen från 9 juli 2024.

Steg 3: Tillämpa ändringarna

Vi uppmuntrar dig att förstå de risker som beskrivs i avsnittet Förstå riskerna.

• Förstå hur återställningen påverkas och andra startbara media.

• Börja testa den tredje begränsningen som inte anger signeringscertifikatet som används för alla tidigare Windows-starthanterare.

Riktlinjer för begränsningsdistribution

Innan du följer de här stegen för att tillämpa lösningarna installerar du den månatliga underhållsuppdateringen för Windows som släpptes den 9 april 2024 eller senare på Windows-enheter som stöds. Den här uppdateringen innehåller lösningar för CVE-2023-24932, men de är inte aktiverade som standard. Alla Windows-enheter bör slutföra det här steget oavsett din plan för att aktivera lösningarna.

Så här distribuerar du uppdateringen och tillämpar återkallningar:

1. Installera de uppdaterade certifikatdefinitionerna i DB.

   Det här steget lägger till certifikatet "Windows UEFI CA 2023" i UEFI :s databas för säker startsignatur (DB). Genom att lägga till det här certifikatet i DB litar enhetens inbyggda programvara på startprogram som har signerats av certifikatet.

   1. Öppna en kommandotolk för administratör och ange registernyckeln för att utföra uppdateringen till DB genom att ange följande kommando:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f

      VIKTIGT Se till att starta om enheten två gånger för att slutföra installationen av uppdateringen innan du fortsätter till steg 2 och 3.

   2. Kör följande PowerShell-kommando som administratör och kontrollera att DB har uppdaterats. Det här kommandot ska returnera True.

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

2. Uppdatera Starthanteraren på enheten.

   I det här steget installeras ett boot manager-program på enheten som är signerat med certifikatet "Windows UEFI CA 2023".

   1. Öppna en kommandotolk som administratör och ange registernyckeln så att den signerade starthanteraren "Windows UEFI CA 2023" installeras:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x100 /f

   2. Starta om enheten två gånger.

   3. Som administratör monterar du EFI-partitionen för att förbereda den för kontroll:

      mountvol s: /s

   4. Verifiera att filen "s:\efi\microsoft\boot\bootmgfw.efi" är signerad med certifikatet "Windows UEFI CA 2023". Gör så här:

      1. Klicka på Start, skriv kommandotolken i rutan Search och klicka sedan på Kommandotolken.

      2. Skriv följande kommando i kommandotolken och tryck sedan på Retur:

         copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi

      3. Högerklicka på filen C:\bootmgfw_2023.efi i Filhanteraren, klicka på Egenskaper och välj sedan fliken Digitala signaturer .

      4. Bekräfta att certifikatkedjan innehåller Windows UEFI CA 2023 i listan Signatur. Certifikatkedjan ska matcha följande skärmbild:
         
         

3. Aktivera återkallelsen.

   UEFI Forbidden List (DBX) används för att blockera icke betrodda UEFI-moduler från att läsas in. I det här steget läggs certifikatet "Windows Production CA 2011" till i DBX när DBX uppdateras. Detta gör att alla starthanterare som är signerade av certifikatet inte längre är betrodda.

   VARNING! Innan du använder den tredje begränsningen skapar du ett återställningsminne som kan användas för att starta systemet. Mer information om hur du gör detta finns i avsnittet Uppdatera Windows-installationsmedia.

   Om systemet inte kan startas följer du anvisningarna i avsnittet Återställningsprocedur för att återställa enheten till ett tillstånd före återkallelsen.

   1. Lägg till certifikatet "Windows Production PCA 2011" i listan Över tillåtna UEFI-skydd för säker start (DBX). Det gör du genom att öppna ett kommandotolkfönster som administratör, skriva följande kommando och sedan trycka på Retur:

      reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f

   2. Starta om enheten två gånger och kontrollera att den har startats om helt.

   3. Kontrollera att installations- och återkallningslistan har tillämpats genom att leta efter händelse 1037 i händelseloggen.
      
      Mer information om händelse 1037 finns i KB5016061: Händelser för säker start AV DB och DBX-variabeluppdatering. Eller kör följande PowerShell-kommando som administratör och kontrollera att det returnerar True:

      [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

Startbart medium

Det är viktigt att uppdatera startbara media när distributionsfasen börjar i din miljö. Vägledning och verktyg för uppdatering av media ges i tid för distributionsfasen. Distributionsfasen är planerad att starta den 9 juli 2024.

Exempel på startbara medie- och återställningsmedia som påverkas av det här problemet:

• Startbart medium som skapats med skapa en återställningsenhet.

• Säkerhetskopior av Windows som avbildningades innan lösningarna tillämpades. Dessa kan inte användas direkt för att återställa Windows-installationen efter att återkallningen har aktiverats på enheten.

• Anpassad CD/DVD- eller återställningspartition som skapats av dig, enhetstillverkaren (OEM) eller företag.

• ISO (via nedladdning eller med hjälp av ADK).

• Nätverksstart:

  • Windows Deployment Services.

  • Starttjänster för Preboot Execution Environment (PXE-starttjänster).

  • Microsoft Deployment Toolkit.

  • HTTPS-start.

• INSTALLATIONS- och återställningsmedia från OEM.

• Officiella Windows-media från Microsoft, inklusive:

  • Återförsäljarmedia.

  • Verktyget för att skapa media (ISO- eller USB-enhet).

  • VLSC.

  • Nedladdningar för Visual Studio-prenumeranter.

  • USB-enhet.

• Windows PE.

• Windows installerat på fysisk maskinvara eller virtuella datorer.

• Windows-verifieringsoperativsystem.

Om du använder startbara medier med en personlig Windows-enhet kan du behöva göra ett eller flera av följande innan du tillämpar återkallning:

• Om du använder personlig säkerhetskopiering för att spara innehållet på din enhet måste du köra en fullständig säkerhetskopia efter att du har tillämpat de 9 april 2024-lösningarna.

• Om du använder en startbar diskavbildning (ISO), en CD-ROM- eller DVD-skiva uppdaterar du mediet genom att följa anvisningarna som ska tillhandahållas vid ett senare tillfälle.

Enterprise

• Se omfattande riktlinjer och skript för Uppdatera Windows-installationsmedia med dynamisk uppdatering.

• Om du stöder scenarier för nätverksstart eller återställning i din miljö måste du uppdatera alla media och avbildningar. Detta kan omfatta följande start- eller återställningsalternativ:

  • Microsoft Deployment Toolkit.

  • Microsoft Endpoint Configuration Manager.

  • Windows Deployment Services.

  • PxE-start.

  • HTTPS-start och andra scenarier för nätverksstart.

• Ett sätt att göra detta är att använda DISM offlinepaketinstallation på avbildningarna som hanteras av dessa scenarier. Detta omfattar uppdatering av startfilerna som erbjuds av dessa tjänster.

• Om du använder säkerhetskopieringsprogram för att spara innehållet i Windows-installationen i en återställningsbild ska du se till att köra en fullständig säkerhetskopia efter att du har tillämpat lösningarna från 9 april 2024. Se till att säkerhetskopiera EFI-diskpartitionen utöver Windows-operativsystempartitionen. Identifiera tydligt säkerhetskopior som gjorts innan du tillämpar lösningarna från den 9 april 2024 jämfört med de som gjorts efter att ha tillämpat lösningarna.

OEM-tillverkare av Windows-datorer

• Se omfattande riktlinjer och skript för Uppdatera Windows-installationsmedia med dynamisk uppdatering.

Uppdatera Installationsmedia för Windows

Du kan använda programmet Skapa återställningsenhet genom att följa de här stegen. Det här mediet kan användas för att installera om en enhet om det skulle uppstå ett större problem, till exempel ett maskinvarufel, så kan du använda återställningsenheten för att installera om Windows.

1. Gå till en enhet där uppdateringarna från 9 april 2024 och det första åtgärdssteget (uppdatering av SÄKER start DB) har tillämpats.

2. På Start-menyn söker du efter kontrollpanelen "Skapa en återställningsenhet" och följer anvisningarna för att skapa en återställningsenhet.

3. Med det nyligen skapade flashminnet monterat (till exempel som enhet "D:" kör du följande kommandon som administratör. Skriv vart och ett av följande kommandon och tryck sedan på Retur:

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Följ de här stegen om du hanterar installationsbara medier i din miljö med hjälp av Uppdatera Windows-installationsmedia med hjälp av dynamisk uppdatering . Dessa ytterligare steg skapar ett startbart flashminne som använder startfiler signerade av signeringscertifikatet "Windows UEFI CA 2023".

1. Gå till en enhet där uppdateringarna den 9 april 2024 och det första åtgärdssteget (uppdatering av SÄKER start DB) har tillämpats.

2. Följ stegen i länken nedan för att skapa media med uppdateringarna från den 9 april 2024. Uppdatera Windows-installationsmedia med dynamisk uppdatering

3. Placera innehållet i mediet på ett USB-minne och montera USB-minnet som en enhetsbeteckning. Montera till exempel USB-minnet som "D:".

4. Kör följande kommandon från ett kommandofönster som administratör. Skriv vart och ett av följande kommandon och tryck sedan på Retur.

   COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK

   bcdboot c:\windows /f UEFI /s D: /bootex

   COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

Om en enhet har återställt inställningarna för säker start till standardinställningarna när du har tillämpat lösningarna startar inte enheten. För att lösa det här problemet ingår ett reparationsprogram i uppdateringarna från 9 april 2024 som kan användas för att återanvända certifikatet "Windows UEFI CA 2023" i DB (mitigation #1).

1. Gå till en enhet där uppdateringarna från 9 april 2024 har tillämpats.

2. I ett kommandofönster kopierar du återställningsappen till flashminnet med följande kommandon (förutsatt att flashminnet är "D:"-enheten). Skriv varje kommando separat och tryck sedan på Retur:

   md D:\EFI\BOOT

   copy C:\windows\boot\efi\securebootrecovery.efi

   D:\EFI\BOOT\bootx64.efi

3. På enheten där inställningarna för säker start har återställts till standardinställningarna sätter du i flashminnet, startar om enheten och startar från flashminnet.

Tidsinställning för uppdateringar

Uppdateringar släpps på följande sätt:

• Inledande distribution Den här fasen började med uppdateringar som släpptes den 9 maj 2023 och gav grundläggande lösningar med manuella steg för att aktivera dessa lösningar.

• Second Deployment Den här fasen började med uppdateringar som släpptes 11 juli 2023, som lade till förenklade steg för att aktivera lösningarna för problemet.

• Utvärderingsfas Den här fasen startar den 9 april 2024 och kommer att lägga till ytterligare åtgärder för starthanteraren.

• Sista distributionsfasen Det är då vi kommer att uppmuntra alla kunder att börja distribuera lösningarna och uppdatera media.

• Tillämpningsfas Tillämpningsfasen som kommer att göra begränsningarna permanenta. Datumet för den här fasen meddelas senare.

Obs! Utgivningsschemat kan komma att ändras efter behov.

Windows-händelseloggfel relaterade till CVE-2023-24932

Poster i Windows-händelseloggen för uppdatering av DB och DBX beskrivs i detalj i KB5016061: Secure Boot DB och DBX-uppdateringshändelser.

"Lyckade" händelser relaterade till att tillämpa lösningarna visas i följande tabell.

Vanliga frågor och svar

Felsöka startproblem

När alla tre lösningar har tillämpats startar inte enhetens inbyggda programvara med en starthanterare signerad av Windows Production PCA 2011. Startfelen som rapporteras av inbyggd programvara är enhetsspecifika. Se avsnittet Återställningsprocedur .

Återställningsprocedur

Om något går fel när du tillämpar lösningarna och du inte kan starta enheten eller om du behöver starta från externa medier (till exempel ett USB-minne eller en PXE-start), kan du prova följande förslag:

1. Inaktivera Säker start.
   
   Den här proceduren skiljer sig mellan enhetstillverkare och modeller. Ange dina enheter UEFI BIOS-menyn och gå till inställningarna för säker start och inaktivera det. Mer information om den här processen finns i dokumentationen från enhetstillverkaren. Mer information finns i Inaktivera säker start.

2. Återställ nycklar för säker start till fabriksinställningarna.

   Om enheten stöder återställning av de säkra startnycklarna till fabriksinställningarna utför du den här åtgärden nu.

   OBSERVERA Vissa enhetstillverkare har både alternativet Rensa och Återställ för variabler för säker start, i vilket fall "Återställ" ska användas. Målet är att återställa variablerna för Säker start till tillverkarnas standardvärden.

   Enheten ska starta nu men observera att den är sårbar för skadlig programvara i boot-kit. Se till att slutföra steg 5 i den här återställningsprocessen för att återaktivera Säker start.

3. Försök starta Windows från systemdisken.

   1. Logga in i Windows.

   2. Kör följande kommandon från en kommandotolk för administratör för att återställa startfilerna i EFI-systemstartpartitionen. Skriv varje kommando separat och tryck sedan på Retur:

      Mountvol s: /s

      del s:\*.* /f /s /q

      bcdboot %systemroot% /s S:

   3. Kör BCDBoot returnerar "Startfiler har skapats". När det här meddelandet visas startar du om enheten till Windows.

4. Om steg 3 inte återställer enheten installerar du om Windows.

   1. Starta enheten från befintliga återställningsmedia.

   2. Fortsätt att installera Windows med hjälp av återställningsmediet.

   3. Logga in i Windows.

   4. Starta om Windows för att kontrollera att enheten startar tillbaka till Windows.

5. Återaktivera Säker start och starta om enheten.
   
   Ange enhetens UEFI-meny och gå till inställningarna för säker start och aktivera den. Mer information om den här processen finns i dokumentationen från enhetstillverkaren. Mer information finns i avsnittet "Återaktivera säker start".

Referenser

• Vägledning för att undersöka attacker med CVE-2022-21894: BlackLotus-kampanjen

• Säker start

• Aktivera Säker start på registrerade Windows-enheter

• Händelser som genereras när DBX-uppdateringar används finns i KB5016061: Hantera sårbara och återkallade starthanterare.