1. Обновление DB (0x40)

   • Добавляет сертификат «Windows UEFI CA 2023» в базу данных Secure Boot (DB).
   • Требует 2 перезагрузки.

2. Обновление Boot Manager (0x100)

   • Обновляет Boot Manager до версии, подписанной сертификатом «Windows UEFI CA 2023».
   • Требует 2 перезагрузки.

3. Ручная проверка (необязательно)

   • Копирует Boot Manager (bootmgfw.efi) для ручной проверки подписи.
   • Проверяет, присутствует ли сертификат «Windows UEFI CA 2023» в DB.

4. Обновление DBX (0x80)

   • Добавляет сертификат «Windows Production PCA 2011» в базу данных запрещённых подписей Secure Boot (DBX).
   • Блокирует старые версии Boot Manager, подписанные этим сертификатом.
   • Требует 2 перезагрузки.

5. Обновление SVN (0x200)

   • Обновляет номер безопасной версии Secure Boot (SVN) для предотвращения атак отката.
   • Требует 2 перезагрузки.

6. Итоговый отчёт

   • Отображает сводку конфигурации Secure Boot и записей журнала событий.

Предварительные требования

• Версия Windows: Windows 10/11, Windows Server 2016/2019/2022 или более поздняя.
• Права администратора: скрипт должен запускаться от имени администратора.
• Включённый Secure Boot: убедитесь, что Secure Boot включён в UEFI-прошивке вашей системы.
• Ключ восстановления BitLocker: если BitLocker активен, убедитесь, что у вас есть ключ восстановления.

Использование

1. Скачайте скрипт:

   root@kitploit:~

   Invoke-WebRequest -Uri "https://raw.githubusercontent.com/helleflo1312/Orchestrated-Powerhell-for-CVE-2023-24932/refs/heads/main/CVE-2023-24932-automation.ps1" -OutFile "CVE-2023-24932-automation.ps1"
   

2. Запустите скрипт от имени администратора:

   root@kitploit:~

   .\CVE-2023-24932-automation.ps1
   

3. Следуйте инструкциям на экране. Скрипт проведёт вас через каждый шаг, включая перезагрузки.

Проверки оборудования:

Скрипт проверит производителей оборудования и совместимость в соответствии с рекомендациями Microsoft по безопасности

Проверка журнала событий

Скрипт проверяет следующие идентификаторы событий для подтверждения успешных обновлений:

• 1036: обновление DB (0x40) выполнено успешно.
• 1799: обновление Boot Manager (0x100) выполнено успешно.
• 1037: обновление DBX (0x80) выполнено успешно.

Если событие не найдено, скрипт отобразит предупреждение, но продолжит выполнение. Вы можете вручную проверить журналы с помощью Просмотра событий. Пример после успешного выполнения этого скрипта:

Примечания

• Необратимые изменения: после применения обновления DBX (0x80) его нельзя отменить без сброса Secure Boot.
• Носитель восстановления: перед применением обновления DBX убедитесь, что у вас есть обновлённый носитель восстановления. Более старые носители могут не загружаться после обновления.
• Тестирование: протестируйте скрипт в непроизводственной среде перед его широким развёртыванием.

Устранение неполадок

• Ошибки журнала событий: если скрипту не удаётся найти ожидаемые идентификаторы событий, вручную проверьте системные журналы на наличие ошибок.
• Восстановление BitLocker: если система входит в режим восстановления BitLocker, используйте ключ восстановления для разблокировки диска.
• Проблемы с прошивкой: некоторые UEFI-прошивки могут не поддерживать требуемые обновления. Обратитесь к производителю оборудования за обновлениями.

Ссылки

• Рекомендации Microsoft по безопасности для CVE-2023-24932
• KB5025885: события обновления переменных Secure Boot DB и DBX

Лицензия

Этот скрипт предоставляется на условиях лицензии MIT. Используйте на свой страх и риск.

Участие в разработке

Если вы столкнулись с проблемами или у вас есть предложения по улучшению, пожалуйста, откройте issue или отправьте pull request на GitHub.

Отказ от ответственности

Этот скрипт предоставляется «как есть», без каких-либо гарантий. Всегда тестируйте его в непроизводственной среде перед развёртыванием на боевых системах.