Microsoft comparte script para corregir error de omisión de BitLocker de WinRE

Microsoft ha publicado un script para facilitar la revisión de una vulnerabilidad de seguridad de omisión de BitLocker en el Entorno de recuperación de Windows (WinRE).

Este script de PowerShell (KB5025175) simplifica el proceso de proteger las imágenes de WinRE contra los intentos de aprovechar el error CVE-2022-41099 que permite a los atacantes omitir los dispositivos de almacenamiento del sistema de la característica de cifrado de dispositivos de BitLocker.

La explotación exitosa de esto permite a los actores de amenazas con acceso físico acceder a datos cifrados en ataques de baja complejidad.

Según Microsoft, la vulnerabilidad no se puede explotar si el usuario ha habilitado la protección TPM + PIN de BitLocker.

"El script de ejemplo de PowerShell fue desarrollado por el equipo de producto de Microsoft para ayudar a automatizar la actualización de imágenes WinRE en dispositivos Windows 10 y Windows 11", dice Microsoft en un documento de soporte publicado el jueves.

"Ejecute el script con credenciales de administrador en PowerShell en los dispositivos afectados. Hay dos scripts disponibles: el script que debe usar depende de la versión de Windows que esté ejecutando.

La versión de script recomendada es PatchWinREScript_2004plus.ps1, que ayuda a aplicar las actualizaciones de seguridad en sistemas que ejecutan Windows 10 2004 y versiones posteriores (incluido Windows 11).

El otro script de PowerShell (PatchWinREScript_General.ps1) es menos robusto y debe usarse en Windows 10 1909 y versiones anteriores (aunque se ejecutará en todos los sistemas Windows 10 y Windows 11).


Cómo utilizar el script de revisión de WinRE

Los scripts de revisión CVE-2022-41099 se pueden ejecutar desde Windows PowerShell y permiten a los administradores especificar la ruta de acceso y el nombre del paquete de actualización dinámica de SO seguro que se debe usar para actualizar la imagen de WinRE.

Estos paquetes de actualización son específicos de la versión del sistema operativo y de la arquitectura del procesador, y deben descargarse previamente del Catálogo de Microsoft Update.

Los scripts también permiten pasar un parámetro workDir para seleccionar el espacio temporal que se utilizará durante el proceso de aplicación de parches (si no se especifica, el script utilizará la carpeta temporal predeterminada de Windows).

Una vez iniciado, el script seguirá los siguientes pasos:

• Monte la imagen de WinRE existente (WINRE. WIM).
• Actualice la imagen de WinRE con el paquete especificado de actualización dinámica de SO seguro (actualización de compatibilidad) disponible en el Catálogo de Windows Update (se recomienda la actualización más reciente disponible para la versión de Windows instalada en el dispositivo)
• Desmonte la imagen de WinRE.
• Si el protector TPM de BitLocker está presente, vuelve a configurar WinRE para el servicio BitLocker.

Después de ejecutar el script, no será necesario reiniciar el sistema para completar el proceso de revisión de imágenes de WinRE.

Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta