Microsoft выпустила скрипт, позволяющий добавить в Windows 10 WinRE исправления BitLocker

Уязвимость в WinRE (CVE-2024-20666) была исправлена в обновлении KB5034441, которое вышло во «Вторник Патчей», 9 января 2024 года.

Скрипт PowerShell устраняет известную проблему с ошибкой 0x80070643, вызывающую сбои при установке обновления KB5034441 в Windows 10. В результате устройства оказываются подвержены уязвимости обхода шифрования BitLocker, которая позволяет получить доступ к зашифрованным данным.

При попытке развернуть обновление безопасности пользователи сообщали об ошибках 0x80070643 со следующим описанием:

Microsoft поясняет, что это происходит потому, что вместо отображения ошибки недостаточного размера WinRE CBS_E_INSUFFICIENT_DISK_SPACE, Центр обновления Windows неправильно отображает общее сообщение об ошибке «0x80070643 — ERROR_INSTALL_FAILURE».

Проблема происходит потому, что файл образа WinRE (winre.wim), развернутый при установке обновления безопасности KB5034441, слишком велик для раздела восстановления.

Чтобы решить эту проблему, Microsoft посоветовала пользователям создать раздел WinRE большего размера, чтобы было достаточно места для установки KB5034441.

Автоматизация исправления уязвимости BitLocker

Хотя вы можете развернуть патч вручную, используя подробные и довольно сложные инструкции, теперь Microsoft предоставляет специальный скрипт PowerShell, который поможет вам автоматизировать обновление раздела WinRE (без необходимости предварительного изменения его размера) и исправить уязвимость CVE-2024-20666 BitLocker.

Microsoft заявляет:

Пример сценария PowerShell был разработан командой разработчиков Microsoft, чтобы помочь автоматизировать обновление образов WinRE на поддерживаемых устройствах с Windows 10 и Windows 11

Запустите сценарий с учетными данными администратора в PowerShell на затронутых устройствах. Доступны два сценария — конкретный тип сценария, зависит от используемой версии Windows.

При запуске сценария в вашей системе сначала будет смонтирован образ WinRE, затем будет применено динамическое обновление безопасной ОС для конкретной архитектуры. Его необходимо загрузить из каталога Центра обновления Windows перед запуском скрипта. После применения обновления образ будет отключен, а затем будет выполнена перенастройка WinRE для службы BitLocker, если включена защита BitLocker TPM.

Возможно, вам также придется использовать инструмент «Show or hide updates» для Windows 10, чтобы скрыть обновление KB5034441 после запуска скрипта. В этом случае Центр обновления Windows не будет пытаться установить проблемное обновление.

Компания Action1, занимающаяся разработкой патчей, также выпустила скрипты, которые автоматизируют изменение размера раздела среды восстановления Windows (WinRE), если вы предпочитаете пойти по этому пути.