8 月 20 日消息，微軟上周確認 KB5012170 更新會導致一些問題，主要表現(xiàn)為Secure Boot DBX 安全更新無法安裝。后續(xù)有更多用戶反饋說這不是唯一的問題，還存在一些其他與 BitLocker 相關(guān)的 Bug。

大量用戶在安裝該更新后啟動到 BitLocker 恢復界面。根據(jù) The Register 以及微軟論壇、Reddit 和 Twitter 上的一些用戶反饋來看，Windows 11 會提示用戶在 BitLocker 恢復界面上輸入恢復密鑰。目前還不知道其他版本的 Windows 是否也受到影響。

根據(jù)初步調(diào)查結(jié)果，這一問題不會影響存儲的數(shù)據(jù)，這意味著用戶可以通過輸入存儲在微軟賬戶或活動目錄中的密鑰重新獲得對 PC 的控制權(quán)。

除此之外，還有用戶反饋稱，在安裝 KB5012170 后系統(tǒng)會將硬盤配置從 RAID 改為 AHCI。與 BitLocker 問題一樣，用戶可以將其系統(tǒng)改回 RAID 且不會丟失數(shù)據(jù)。不過目前，安全啟動 DBX 問題仍是唯一公認的問題。

微軟表示，KB5012170 更新了數(shù)據(jù)庫 DBX，此前系統(tǒng)中存在一項安全功能漏洞，攻擊者可以繞過安全啟動并加載不受信任的軟件。因此微軟不得不阻止來自第三方的證書，所以這次更新很重要，至少微軟認為用戶不應該跳過，盡管有太多太多的 Bug。

Windows 團隊現(xiàn)給出了一個臨時解決方案來解決 BitLocker 問題。IT之家提醒，如果您不想暫停 BitLocker 功能，則需要耐心等待微軟后續(xù)發(fā)布一個更新來修復該 Bug。

如果 BitLocker 組策略為本機 UEFI 固件配置啟用了 TPM 平臺驗證配置文件，并且按策略選擇了 PCR7，則可能會導致更新無法安裝。

若要查看 PCR7 綁定狀態(tài)，請運行具有管理權(quán)限的 Microsoft 系統(tǒng)信息 (Msinfo32.exe) 工具。

若要解決此問題，請在部署此更新之前執(zhí)行以下操作之一：

在未啟用 Credential Gard 的設備上，從管理員命令提示符運行以下命令以暫停 BitLocker 以進行 1 次重啟周期：Manage-bde–Protectors–DisableC:-RebootCount1 然后，部署更新并重啟設備以恢復 BitLocker 保護。

在啟用了 Credential Guard 的設備上，從管理員命令提示符運行以下命令，以暫停 BitLocker 2 個重啟周期：Manage-bde–Protectors–DisableC:-RebootCount3 然后，部署更新并重啟設備以恢復 BitLocker 保護。

注意：此問題僅影響安全啟動 DBX 的安全更新 (KB5012170)，不會影響 2022 年 8 月 9 日發(fā)布的最新累積安全更新。

解決方法：如果您的設備提示您必須輸入 BitLocker 密碼才能啟動 Windows。

如果您尚未安裝 KB5012170 并且在您的設備上啟用了 BitLocker，請按照以下說明在安裝前暫時禁用 BitLocker。

如果您安裝了 KB5012170 并且尚未重新啟動您的設備，或者只重新啟動了一次，請使用以下說明暫時覆蓋 BitLocker。

重要提示：如果您在安裝 KB5012170 后重新啟動設備兩次或更多次，則您的設備不會受到此問題的影響。

解決方案

要在部署 KB5012170 時暫時掛起 BitLocker 或避免 BitLocker 恢復，請執(zhí)行以下步驟：

從管理員命令提示符處運行以下命令：

Manage-bde -protectors -disable%systemdrive% -rebootcount 2

如果尚未安裝更新 KB5012170，請安裝它。

重啟設備。

重新啟動設備。

BitLocker 應在兩次啟動后自動啟用。

如果要手動恢復 BitLocker 以驗證它是否已啟用，請使用以下命令：

Manage bde -protectors -Enable%systemdrive%

后續(xù)步驟：我們正在研究解決方案，并將在下一個版本中提供更新。

受影響的平臺：

客戶端：Windows 11，版本 21H2

服務器：無

關(guān)鍵詞：