神基科技公司关于微软安全更新

更新时间：2023/10/31

重要提示:

请注意，本声明是为了通知您微软发布的重要安全更新。用户应阅读微软及以下建议的指引，并采取可能不时更新的行动，以启用安全启动绕过的保护，避免潜在的安全风险和系统故障。另请注意，微软宣布其建议的步骤必须在进入最终执行之前完成，最终执行暂定不早于 2024 年 7 月 9 日。如果未按顺序完成所需步骤，可启动介质可能无法启动，并导致您的 Getac 设备在微软最终强制执行之后无法启动。此外，请注意，Getac 发行的带有或不带有 Getac 品牌名称的软件(包括但不限于系统软件)不包括在 Getac 的保修范围内。对于未遵循有关微软安全更新的说明所产生的任何索赔、损害、成本或费用，Getac 概不承担责任。

背景

由于安全启动安全功能已被BlackLotus UEFI BootKit 绕过（该统一可扩展固件接口在CVE-2023-24932 下被跟踪），微软于 2023 年 5 月 9 日发布了 KB5025885 和安全更新，以管理 Windows 启动管理器的注销程序。

微软的安全更新分为四个阶段¹，最后一个阶段是强制执行。最后执行阶段将于 2024 年 7 月 9 日实施永久性缓解措施

风险影响

• BlackLotus UEFI BootKit 漏洞允许攻击者保持对设备的控制并可能操纵设备。强烈建议所有客户应用 2023 年 5 月 9 日（第一次保护）和 2024 年 1 月 9 日（第二次保护）发布的 Windows 安全更新来实施必要的安全缓解措施。
• 吊销将于 2024 年 7 月 9 日以编程方式强制执行。¹ 因此，如果设备更换了由旧启动管理器保留的硬盘，则可能无法在强制执行日期之后启动。

微软详细说明

请查看微软关于 CVE-2023-24932 最新安全更新的公告。

KB5025885: How to manage the Windows Boot Manager revocations for Secure Boot changes associated with CVE-2023-24932 - Microsoft Support

对 Getac 用户的操作

建议将所有可启动介质升级到最新版本，并使用新的启动管理器进行更新。Getac 建议我们的客户根据不同的方案遵循下面概述的操作。Getac将发布可启动恢复映像（由Getac恢复介质实用程序（“GRMU“）创建²）和工具来更新恢复分区中的启动管理器。

• 如表A所示，将发布带有最新安全更新³和启动管理器的新货品。对于2024年1月9日的新货品，安全更新将在微软发布后准备好。Getac将在映像计划发布后公布其状态。有关详细列表，请参阅表A：<更新HDI实施日期>
• 对于目前使用Getac设备的客户（2023年7月31日前发货）
  请确保MIS部门了解以下概述的信息，并确认旧的启动管理器已被删除或更新。这对于防止2024年7月9日微软执行阶段之后出现任何启动问题至关重要。
  • • 请继续进行Windows升级以安装最新版本的Windows更新，并咨询您的MIS部门以了解详细的缓解措施。请确保更新微软发布的所有更新。目前，有两个已公布的更新版本（2023年5月9日和2024年1月9日版本）
    • 恢复分区：请使用Getac服务门户上提供的Getac恢复分区补丁工具更新恢复分区中的启动管理器。在使用Getac恢复分区补丁工具之前，请确保您已经完成了5月9日之后发布的微软安全更新版本。该步骤对于为恢复分区内的启动管理器提供适当便利至关重要。如果客户决定启用吊销⁹，请在每次使用微软的更新进行更新时重复此步骤，以确保恢复分区包含最新的引导加载程序。
• 强制吊销后通过恢复映像或更换硬盘恢复系统的场景：
  请确保使用下面的恢复映像进行系统恢复⁶。
  
  • • 使用GRMU⁸:
      请通过GRMU²从https://support.getac.com/Service/FileReader/Index?fileid=109165&cateid=100038下载带有安全更新的最新Windows映像7，以生成恢复介质并执行系统恢复4。支持的型号列表（如表A所示）：<更新映像实施日期>。2023年5月9日和2024年1月9日两个版本都需要确保安全性。对于不在列表上的定制项目，请联系您的客户经理和FAE（现场应用工程师）。

表 A：<更新映像实施日期>

*对于定制项目，2023-10-31之后的货品将随附5月9日的微软安全更新。详情请咨询您的SA（销售代表）。

**GRMU不支持X600 Server。详情请咨询服务团队或销售。