Компания Microsoft представила скрипт PowerShell для устройств с Windows 10 и Windows 11, который исправляет уязвимость обхода функций безопасности BitLocker.
Microsoft подтвердила проблему, получившую идентификатор CVE-2022-41099, еще 8 ноября 2022 года. Успешная эксплуатация уязвимости позволяет злоумышленникам обходить защиту BitLocker Device Encryption на системном диске. Для эксплойта требуется физический доступ к устройству.
Ранее Microsoft выпустила обновление безопасности для решения этой проблемы, но системным администраторам приходилось вручную устанавливать его в среду восстановления Windows.
PowerShell устраняет обход защиты BitLocker
Новый скрипт PowerShell позволяет автоматизировать процесс обновления. Теперь системным администраторам Windows 10 и Windows 11 достаточно запустить сценарий PowerShell, чтобы исправить среду восстановления и защитить ее от потенциальных эксплойтов.
Всего доступно два сценария PowerShell, каждый из которых предназначен для определенных версий Windows. Рекомендуемый скрипт PatchWinREScript_2004plus.ps1 совместим с Windows 10, версия 2004 и новее, включая любую версию Windows 11.
Согласно Microsoft, данный скрипт является более надежным, и администраторам рекомендуется запускать именно его, если установлена поддерживаемая версия Windows.
Для более старых устройств, работающих под управлением Windows 10 версии 1909 или более ранней, требуется другой сценарий. Microsoft отмечает, что второй скрипт может выполняться и в более поздних версиях Windows 10 и Windows 11.
На сайте поддержки Microsoft выложены исходные коды обоих скриптов. Пользователям необходимо скопировать весь код и вставить его в обычный текстовый файл на устройстве. Файл необходимо переименовать из .txt в .ps1, чтобы сделать его сценарием PowerShell.
Сценарий выполняет следующие шаги для решения проблемы:
- Монтирует существующий образ WinRE (WINRE.WIM).
- Образ обновляется с помощью пакета динамического обновления Safe OS из Каталога Центра обновления Майкрософт. Это обновление необходимо загрузить вручную для и указать с помощью параметра packagePath.
- Размонтирует образ WinRE.
- Выполняет перенастройку защиты BitLocker TPM, если есть такая необходимость.
Системные администраторы могут запускать скрипт с двумя параметрами:
workDir -- <Опциональный> Указывает рабочее пространство, используемое для исправления WinRE. Если не указано, сценарий будет использовать временную папку по умолчанию.
packagePath -- <Обязательный> Указывает путь и имя пакета обновления Safe OS Dynamic для конкретной версии ОС и архитектуры процессора, который будет использоваться для обновления образа WinRE.
Для эксплуатации уязвимости BitLocker требуется локальный доступ к ПК с Windows. Хотя уровень опасности при таких условиях может быть меньше, администраторам все-таки рекомендуется запустить сценарий PowerShell для защиты устройства от атак.
Перед запуском скрипта создайте резервную копию системы. Если что-то пойдет не так, ее можно будет использовать для восстановления предыдущего состояния системы.
