BlackLotus

BlackLotus（別名 CVE-2023-24932 修復スクリプト） - Intune、ConfigMgr、および一般的なアドホック使用向け。

ブログ記事: https://ajf.one/blacklotus

一般的な注意事項

• これらの修復スクリプトは再起動を開始しません。これらは「時間をかけて」実行するように設計されており、最終的にはデバイスは、毎月の更新プログラム、ユーザーによる再起動、またはその他の理由による「自然な」再起動の過程で、準拠していると報告されます。
• 修復スクリプト全体は、Intune 修復および ConfigMgr CI で使用するために、検出スクリプト内に配置する必要があります。これは、これらのスクリプトが「選択式アドベンチャー」のように動作し、複数の終了ポイントがあり、それぞれが独自の出力を返すためです。
• 各スクリプトの冒頭には「検出」スクリプトに相当する部分があり、既に準拠しているデバイスに対して変更を加えたり、過剰なログを記録したりしないようにしています。
• 問題が発生した場合やフィードバックがある場合は、ここで issue を開くか、WinAdmins の Discord で私 (@krbtgt) に ping を送ってください。大変助かります。

フェーズ 1: 更新された証明書定義を DB にインストールし、デバイスのブートマネージャーを更新する

処理フローチャート:

フェーズ 1 スクリプトは、マイクロソフトが公開したガイダンス のステップ 1 と 2 を次の手順で実行します:

1. AvailableUpdates レジストリ値を 0x40 に設定する
2. \Microsoft\Windows\PI\Secure-Boot-Update スケジュールされたタスクを開始して、ステップ 1「更新された証明書定義を DB にインストールする」を実行する
3. ステップ 1 が完了したことを検証する
4. AvailableUpdates レジストリ値を 0x100 に設定する
5. \Microsoft\Windows\PI\Secure-Boot-Update スケジュールされたタスクを開始して、ステップ 2「デバイスのブートマネージャーを更新する」を実行する
6. ステップ 2 が完了したことを検証する

検証は各ステップ間で行われ、$env:TEMP\BlackLotusPhase1Remediation.log に記録されるとともに、Intune に返されます（スクリプトを修復として実行している場合）。

フェーズ 2: 失効を有効にし、SVN 更新プログラムをファームウェアに適用する

処理フローチャート:

フェーズ 2 スクリプトは、マイクロソフトが公開したガイダンス のステップ 3 と 4 を次の手順で実行します:

1. AvailableUpdates レジストリ値を 0x80 に設定する
2. \Microsoft\Windows\PI\Secure-Boot-Update スケジュールされたタスクを開始して、ステップ 3「失効を有効にする」を実行する
3. ステップ 3 が完了したことを検証する
4. AvailableUpdates レジストリ値を 0x200 に設定する
5. \Microsoft\Windows\PI\Secure-Boot-Update スケジュールされたタスクを開始して、ステップ 4「SVN 更新プログラムをファームウェアに適用する」を実行する
6. ステップ 4 が完了したことを検証する