{"id":308269,"date":"2025-02-05T07:54:22","date_gmt":"2025-02-05T06:54:22","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=308269"},"modified":"2025-02-26T12:30:37","modified_gmt":"2025-02-26T11:30:37","slug":"windows-10-11-kb5053484-neues-ps-script-fuer-zertifikate-in-boot-medien","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2025\/02\/05\/windows-10-11-kb5053484-neues-ps-script-fuer-zertifikate-in-boot-medien\/","title":{"rendered":"Windows 10\/11 KB5053484: Neues PS-Script f\u00fcr Zertifikate in Boot-Medien"},"content":{"rendered":"

\"Windows\"Microsoft hat gerade ein neues PowerShell-Script f\u00fcr Windows 10 und Windows 11 ver\u00f6ffentlicht, welches die Boot-Medien aktualisiert. Dadurch soll sichergestellt werden, dass das Windows UEFI CA 2023 Zertifikat in naher Zukunft akzeptiert wird. Das Ganze steht im Kontext zur Black Lotus Secure Boot-Schwachstelle, die Microsoft schlie\u00dfen musste. Kurzer R\u00fcckblick, um was es geht.<\/p>\n

<\/p>\n

Black Lotus und Windows UEFI CA 2023 Zertifikat<\/h2>\n

Im M\u00e4rz 2024 wurde bekannt, dass das BlackLotus UEFI-Bootkit den Secure Boot in Windows 11 mittels der Schwachstelle CVE-2023-24932 \u00fcberwinden k\u00f6nne. Microsoft hat zwar versucht, da etwas per Update zu patchen. Das ist aber ziemlich in die Hose gegangen.\u00a0 Ich hatte im Blog-Beitrag KB5025885: Secure Boot-Absicherung gegen Schwachstelle CVE-2023-24932 (Black Lotus)<\/a> \u00fcber die Schwachstelle berichtet.<\/p>\n

Parallel dazu dr\u00e4ut beim Secure Boot noch ein anderes Problem. Im Oktober 2026 l\u00e4uft ein UEFI-Zertifikat (\"Windows Production PCA 2011\") Microsofts ab, welches beim Secure Boot benutzt wird. Das d\u00fcrfte nicht nur Windows-Nutzer betreffen, sondern auch Linux-Administratoren sollten sich mit dem Thema befassen.<\/p>\n

Es besteht die Bef\u00fcrchtung, dass Systeme ohne das alte Zertifikat ab dem genannten Datum nicht mehr mit Secure Boot starten k\u00f6nnen.\u00a0Auch dieses Thema hatte ich im Beitrag Frage: BlackLotus-Schwachstelle und ablaufendes UEFI-Zertifikat \u2013 was droht uns?<\/a> angesprochen. Und auf diesen Sachverhalt versucht Microsoft nun mit einem PowerShell-Script als Antwort zu reagieren.<\/p>\n

KB5053484 f\u00fcr Windows 10\/11<\/h2>\n

Zum 4. Februar 2025 hat Microsoft den Support-Beitrag\u00a0KB5053484<\/a> (Updating Windows bootable media to use the PCA2023 signed boot manager) ver\u00f6ffentlicht – Bolko hatte im Diskussionsbereich darauf hinwiesen (danke), ich hatte es aber auch auf diversen Webseiten gesehen.<\/p>\n

Im Support-Beitrag wird das PowerShell-Skript Make2023BootableMedia.ps1<\/em> <\/a>zum Download angeboten. Das PowerShell-Skript l\u00e4sst sich verwendet, um Windows-Bootmedien zu aktualisieren, damit die Medien auf Systemen verwendet werden k\u00f6nnen, die dem Zertifikat \"Windows UEFI CA 2023\" vertrauen, schreibt Microsoft.\u00a0Als Ein- und Ausgabe k\u00f6nnen bootf\u00e4hige Medien des folgenden Typs verwendet werden:<\/p>\n