Skip to content

Commit 84e74d5

Browse files
Harvester57Harvester57
committed
Add BlackLotus mitigation steps
1 parent 9aa104e commit 84e74d5

File tree

3 files changed

+54
-14
lines changed

3 files changed

+54
-14
lines changed

‎AdditionalHardening.admx‎

Lines changed: 25 additions & 7 deletions
Original file line numberDiff line numberDiff line change
@@ -75,15 +75,33 @@
7575
7676
-->
7777
<!-- Apply the updated Secure Boot denylist and the Code Integrity Boot Policy against BlackLotus (CVE-2023-24932) -->
78-
<policy name="BlackLotusMitigation" class="Machine" displayName="$(string.BlackLotusMitigation)" explainText="$(string.BlackLotusMitigation_Help)" key="SYSTEM\CurrentControlSet\Control\Secureboot" valueName="AvailableUpdates">
78+
<policy name="BlackLotusMitigation" class="Machine" displayName="$(string.BlackLotusMitigation)" explainText="$(string.BlackLotusMitigation_Help)" presentation="$(presentation.BlackLotusMitigation_Presentation)" key="SYSTEM\CurrentControlSet\Control\Secureboot">
7979
<parentCategory ref="System" />
8080
<supportedOn ref="windows:SUPPORTED_Windows_10_0" />
81-
<enabledValue>
82-
<decimal value="48" />
83-
</enabledValue>
84-
<disabledValue>
85-
<decimal value="0" />
86-
</disabledValue>
81+
<elements>
82+
<enum id="BlackLotusMitigation_DropdownList" valueName="AvailableUpdates" required="true">
83+
<item displayName="$(string.BlackLotusMitigation_Option1)">
84+
<value>
85+
<decimal value="64" />
86+
</value>
87+
</item>
88+
<item displayName="$(string.BlackLotusMitigation_Option2)">
89+
<value>
90+
<decimal value="256" />
91+
</value>
92+
</item>
93+
<item displayName="$(string.BlackLotusMitigation_Option3)">
94+
<value>
95+
<decimal value="128" />
96+
</value>
97+
</item>
98+
<item displayName="$(string.BlackLotusMitigation_Option4)">
99+
<value>
100+
<decimal value="512" />
101+
</value>
102+
</item>
103+
</enum>
104+
</elements>
87105
</policy>
88106
<!-- Prevent root CAs tampering from standard users-->
89107
<policy name="ProtectedRoots" class="Machine" displayName="$(string.ProtectedRoots)" explainText="$(string.ProtectedRoots_Help)" key="SOFTWARE\Policies\Microsoft\SystemCertificates\Root\ProtectedRoots" valueName="Flags">

‎en-US/AdditionalHardening.adml‎

Lines changed: 13 additions & 2 deletions
Original file line numberDiff line numberDiff line change
@@ -297,14 +297,20 @@ Additional Information: https://support.microsoft.com/en-us/topic/kb5005010-rest
297297

298298
Enabling this policy can help prevent code signing certificate cloning attacks. It is recommended to enable this policy.</string>
299299
<string id="BlackLotusMitigation">Enable Secure Boot/Code Integrity mitigations for BlackLotus (CVE-2023-24932)</string>
300-
<string id="BlackLotusMitigation_Help">This policy sets the Registry key needed to apply the updated Secure Boot denylist and the Code Integrity Boot Policy, to prevent untrusted Windows boot managers from loading when Secure Boot is turned on.
300+
<string id="BlackLotusMitigation_Help">This policy sets the Registry keys needed to apply the updated Secure Boot denylist (DBX), the new signing certificate in the allowlist (DB), the anti-rollback mecanisme (SVN) and the Code Integrity Boot Policy, to prevent untrusted/vulnerable Windows boot managers from loading when Secure Boot is turned on.
301301

302302
IMPORTANT: carefully read the Microsoft documentation associated with this protection, as it can render your device unable to boot if you do not follow the pre-required steps:
303303

304304
- https://support.microsoft.com/en-us/topic/kb5025885-how-to-manage-the-windows-boot-manager-revocations-for-secure-boot-changes-associated-with-cve-2023-24932-41a975df-beb2-40c1-99a3-b3ff139f832d
305305
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-24932
306306

307-
This policy should be fully turned on by Microsoft in the July 2024 Cumulative Update.</string>
307+
In particular, you should read all the steps descriptions present in the list and the associated manual operations you need to perform (reboots, additional checks, ...) for each of them in the section of the documentation:
308+
309+
- https://support.microsoft.com/en-us/topic/kb5025885-how-to-manage-the-windows-boot-manager-revocations-for-secure-boot-changes-associated-with-cve-2023-24932-41a975df-beb2-40c1-99a3-b3ff139f832d#bkmk_mitigation_guidelines</string>
310+
<string id="BlackLotusMitigation_Option1">Step 1: add the "Windows UEFI CA 2023" certificate to the DB</string>
311+
<string id="BlackLotusMitigation_Option2">Step 2: update the boot manager of the device</string>
312+
<string id="BlackLotusMitigation_Option3">Step 3: add the "Windows Production CA 2011" certificate to the revocation list (DBX)</string>
313+
<string id="BlackLotusMitigation_Option4">Step 4: apply the SVN update to the firmware</string>
308314
<string id="CoInstallers">Block drivers co-installers applications</string>
309315
<string id="CoInstallers_Help">A co-installer is a user-mode Win32 DLL that typically writes additional configuration information to the registry, or performs other installation tasks that require information that is not available when an INF is written.
310316

@@ -768,6 +774,11 @@ The only restriction is that the assembly must be fully trusted because its zone
768774
noSort="true"
769775
defaultItem="0">Select a logging level:</dropdownList>
770776
</presentation>
777+
<presentation id="BlackLotusMitigation_Presentation">
778+
<dropdownList refId="BlackLotusMitigation_DropdownList"
779+
noSort="true"
780+
defaultItem="0">Select a step:</dropdownList>
781+
</presentation>
771782
<!-- PROTOCOLS -->
772783
<presentation id="MPUH">
773784
<checkBox refId="MPUH_ClientCheckbox"

‎fr-FR/AdditionalHardening.adml‎

Lines changed: 16 additions & 5 deletions
Original file line numberDiff line numberDiff line change
@@ -296,17 +296,23 @@ Informations complémentaires : https://support.microsoft.com/fr-fr/topic/kb5005
296296
<string id="ProtectedRoots_Help">Cette politique permet d'interdire aux utilisateurs non privilégiés d'installer des certificats racine dans leur magasin personnel de certificats.
297297

298298
Activer cette politique permet de limiter les attaques par clonage de certificats de signature de code. Il est recommandé d'activer cette politique.</string>
299-
<string id="BlackLotusMitigation">Activer la protection additionnelle contre BlackLotus (CVE-2023-24932)</string>
300-
<string id="BlackLotusMitigation_Help">Cette politique active la clef de Registre nécessaire à l'installation de la nouvelle liste noire de démarrage sécurisé (Secure Boot DBX) et la nouvelle stratégie de démarrage du mécanisme d'intégrité du code de Windows.
299+
<string id="BlackLotusMitigation">Activer les protections additionnelles contre BlackLotus (CVE-2023-24932)</string>
300+
<string id="BlackLotusMitigation_Help">Cette politique déploie les clefs de Registre nécessaires à l'installation de la nouvelle liste noire de démarrage sécurisé (Secure Boot DBX), l'installation du nouveau certificat de signature dans la liste blanche (DB), le mécanisme d'anti-retour arrière (SVN) et la nouvelle stratégie de démarrage du mécanisme d'intégrité du code de Windows.
301301

302-
Ces stratégies permettent de se prémunir de la CVE-2023-24932, aussi connue sous le nom de BlackLotus.
302+
Ces stratégies permettent de se prémunir de la CVE-2023-24932, aussi connue sous le nom de BlackLotus, et plus généralement des vulnérabilités récentes liées au chargeur d'amorçage.
303303

304304
IMPORTANT : veuillez lire attentivement la documentation de Microsoft au sujet de ces correctifs, ainsi que les étapes préliminaires et postliminaires à appliquer en plus de cette clef de Registre, autrement vous pourriez rendre votre système non-bootable :
305305

306-
- https://support.microsoft.com/en-au/topic/kb5025885-how-to-manage-the-windows-boot-manager-revocations-for-secure-boot-changes-associated-with-cve-2023-24932-41a975df-beb2-40c1-99a3-b3ff139f832d
306+
- https://support.microsoft.com/fr-fr/topic/kb5025885-comment-g%C3%A9rer-les-r%C3%A9vocations-du-gestionnaire-de-d%C3%A9marrage-windows-pour-les-modifications-de-d%C3%A9marrage-s%C3%A9curis%C3%A9-associ%C3%A9es-%C3%A0-cve-2023-24932-41a975df-beb2-40c1-99a3-b3ff139f832d
307307
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-24932
308308

309-
Cette politique devrait être activée par défaut à partir de la mise à jour cumulative de Juillet 2024.</string>
309+
En particulier, vous devriez lire les étapes de déploiement associées à chaque étape présente dans la liste de cette politique, et les actions manuelles associées (redémarrages intermédiaires, vérifications additionnelles, ...). Ces informations sont présentes dans la documentation Microsoft :
310+
311+
- https://support.microsoft.com/fr-fr/topic/kb5025885-comment-g%C3%A9rer-les-r%C3%A9vocations-du-gestionnaire-de-d%C3%A9marrage-windows-pour-les-modifications-de-d%C3%A9marrage-s%C3%A9curis%C3%A9-associ%C3%A9es-%C3%A0-cve-2023-24932-41a975df-beb2-40c1-99a3-b3ff139f832d#bkmk_mitigation_guidelines</string>
312+
<string id="BlackLotusMitigation_Option1">Étape 1 : ajout du certificat "Windows UEFI CA 2023" à la liste blanche d'amorçage (DB)</string>
313+
<string id="BlackLotusMitigation_Option2">Étape 2 : mise à jour du chargeur d'amorçage du système d'exploitation</string>
314+
<string id="BlackLotusMitigation_Option3">Étape 3 : ajout du certificat "Windows Production CA 2011" à la liste noire d'amorçage (DBX)</string>
315+
<string id="BlackLotusMitigation_Option4">Étape 4 : application du mécanisme d'anti-retour arrière (SVN)</string>
310316
<string id="CoInstallers">Bloquer l'installation des co-installeurs des pilotes matériels</string>
311317
<string id="CoInstallers_Help">Un co-installeur est une librairie Win32 en espace utilisateur qui complète l'installation d'un driver en effectuant des tâches de configuration annexes (écriture Registre, installation d'application additionnelle, etc) non disponibles dans un fichier INF standard.
312318

@@ -721,6 +727,11 @@ La seule restriction est que l'assembly doit être entièrement fiable, car sa z
721727
noSort="true"
722728
defaultItem="0">Sélectionnez le niveau de verbosité :</dropdownList>
723729
</presentation>
730+
<presentation id="BlackLotusMitigation_Presentation">
731+
<dropdownList refId="BlackLotusMitigation_DropdownList"
732+
noSort="true"
733+
defaultItem="0">Sélectionner une étape :</dropdownList>
734+
</presentation>
724735
<!-- PROTOCOLS -->
725736
<presentation id="MPUH">
726737
<checkBox refId="MPUH_ClientCheckbox" defaultChecked="false">Activer le protocole Multi-Protocol Unified Hello côté client</checkBox>

0 commit comments

Comments
 (0)