发布日期：2016年7月12日
版本： 1.0
执行摘要此安全更新修复了 Microsoft Windows 中的一个漏洞。如果攻击者在目标设备上安装受影响的策略，会存在安全启动安全功能绕
过漏洞。攻击者必须具有管理权限或物理访问权限才可安装策略和绕过安全启动。
对于 Windows 8.1、Windows RT 8.1、Windows Server 2012、Windows Server 2012 R2 和 Windows 10 的所有受支持版本，
此安全更新的等级为“重要”。有关详细信息，请参阅受影响的软件和漏洞严重等级部分。
此安全更新通过将受影响的策略列入黑名单来修复漏洞。有关这些漏洞的详细信息，请参阅漏洞信息部分。
有关此更新的详细信息，请参阅 Microsoft 知识库文章 3177404。
安全启动安全功能绕过漏洞 – CVE-2016-3287如果 Windows 安全启动未正确应用受影响的策略，会存在安全功能绕过漏洞。成功利用此漏洞的攻击者可以禁用代码完整性检
查，从而允许将签名的测试可执行文件和驱动程序加载到目标设备。此外，攻击者可以绕过 BitLocker 和设备加密安全功能的安全
启动完整性验证。
要利用此漏洞，攻击者必须具有管理权限或目标设备的物理访问权限才可安装受影响的策略。此安全更新通过将受影响的策略列入
黑名单来修复漏洞。
变通办法
配置 BitLocker 以使用可信平台模块 (TPM)+PIN 保护
要启用 TPM 和 PIN 保护器，则启用加强的保护组策略，如下所示：
1.单击开始，单击运行，键入 gpedit.msc，然后单击确定以打开组策略编辑器。
2.在本地计算机策略下，导航到管理模板 > Windows 组件 > BitLocker 驱动器加密 > 操作系统驱动器。
3.在右窗格中，双击启动时需要其他身份验证。
4.在出现的对话框中，单击已启用。
5.在选项下，选择需要 TPM和需要启动 PIN 和 TPM。
6.单击应用并关闭本地组策略编辑器。
7.使用管理员权限打开命令提示符。
8.输入下列命令：
manage-bde -protectors -add c: -tpmandpin
9.命令询问 PIN 时，输入 4 或 6 位 PIN。
10.重启系统。
变通办法的影响。
每次重启计算机时用户将需要输入 PIN。
如何撤消变通方法
1.单击开始，单击运行，键入 gpedit.msc，然后单击确定以打开组策略编辑器。
2.在本地计算机策略下，导航到管理模板 > Windows 组件 > BitLocker 驱动器加密 > 操作系统驱动器。
3.在右窗格中，双击“启动时需要其他身份验证”。
4.在出现的对话框中，单击已启用。
5.在“选项”下，取消选择“允许 TPM”和“允许启动 PIN 和 TPM”。
6.单击应用并关闭本地组策略编辑器。
7.重启系统。