微软发布 KB5025885：进入 Windows CVE-2023-24932 Black Lotus 补丁部署阶段

微软本周早些时候发布了 2024 年 7 月补丁星期二更新，包括 Windows 10 (KB5040427 / KB5040430 / KB5040434 / KB5040448)、Windows 11 21H2/ 22H2 / 23H2 (KB5040442 / KB5040431) 和 Windows 11 24H2 (KB5040435)。其中，Windows 11 修复了任务栏损坏问题。

除此以外，微软还悄悄地对困扰 Windows 10 和 11 用户已久的一个主要问题进行了更新。该公司发布的更新添加了有关安装 Windows 恢复环境（WinRE）更新 KB5034441（Windows 10）和 KB5034440（Windows 11）的详细要求。这些更新与微软上周发布的 Windows 11 24H2 的 WinRE 更新 KB5041137 不同。

微软还宣布了 BlackLotus UEFI 安全启动漏洞的缓解部署阶段，该漏洞被追踪为 CVE-2023-24932。该技术巨头建议组织和企业从 7 月 9 日发布的最新补丁星期二更新开始部署缓解措施。BlackLotus 修补程序的上一次更新是在 2024 年 4 月发布的，当时被定义为评估阶段。

2024 年 7 月 9 日或之后 - 部署阶段开始

在此阶段，我们鼓励客户开始部署缓解措施和管理任何媒体更新。 更新包括以下更改：

• 添加了对安全版本号 (SVN) 以及在固件中设置更新后的 SVN 的支持。

下面概述了要在企业中部署的步骤。

下一代Windows 11可能会有更多类似TPM的安全功能

注意 本文后续更新的其他指南。

• 将第一个缓解措施部署到企业中的所有设备或企业中的托管设备组。 其中包括：
  • 选择加入将“Windows UEFI CA 2023”签名证书添加到设备固件的第一个缓解措施。
  • 监视设备是否已成功添加“Windows UEFI CA 2023”签名证书。
• 部署将更新的启动管理器应用到设备的第二个缓解措施。
• 更新与这些设备一起使用的任何恢复或外部可启动媒体。
• 部署第三个缓解措施，通过将“Windows Production CA 2011”证书添加到固件中的 DBX，从而启用吊销该证书。
• 部署第四个将安全版本号 (SVN) 更新到固件的缓解措施。

由于支持文档相当大，有很多细节需要查看，因此微软发布了一个更新日志，以便管理员和用户可以快速发现公司所做的改动。

2024 年 7 月 9 日

• 更新了“步骤 2：评估更改”以删除 2024 年 7 月 9 日的日期。
• 将 2024 年 4 月 9 日的所有匹配项更新为 2024 年 7 月 9 日，但“更新计时”部分除外。
• 更新了“可启动媒体”部分，并将内容替换为“未来更新即将推出可启动媒体的更新指南”。
• 更新了“更新的计时”部分中的“2024 年 7 月 9 日或更高版本 – 部署阶段开始”。
• 在“缓解部署指南”部分添加了步骤 4“将 SVN 更新应用于固件”。

你可以在微软官方网站上的支持文档中找到相关的详细信息：

https://support.microsoft.com/zh-cn/topic/kb5025885-%E5%A6%82%E4%BD%95%E9%92%88%E5%AF%B9%E4%B8%8E-cve-2023-24932-%E5%85%B3%E8%81%94%E7%9A%84%E5%AE%89%E5%85%A8%E5%90%AF%E5%8A%A8%E6%9B%B4%E6%94%B9%E7%AE%A1%E7%90%86-windows-%E5%BC%95%E5%AF%BC%E7%AE%A1%E7%90%86%E5%99%A8%E5%90%8A%E9%94%80-41a975df-beb2-40c1-99a3-b3ff139f832d