发布日期：2016 年 8 月 9 日
版本：1.0
执行摘要
此安全更新程序修复了 Microsoft Windows 中的一个漏洞。如果攻击者安装了一个受影响的引导管理器并绕过 Windows 安全功
能，则此漏洞可能允许绕过安全功能。
对于所有受支持的 Windows 8.1、Windows Server 2012、Windows Server 2012 R2、Windows RT 8.1 和 Windows 10 版本，此
安全更新程序的等级为“重要”。有关详细信息，请参阅受影响的软件和漏洞严重等级部分。
此安全更新程序通过将受影响的引导管理器列入黑名单来修复漏洞。有关此漏洞的详细信息，请参阅漏洞信息部分。
有关此更新程序的详细信息，请参阅 Microsoft 知识库文章 3179577。
漏洞信息
安全启动安全功能绕过漏洞 – CVE-2016-3320Windows
安全启动错误地加载受安全功能绕过漏洞影响的引导管理器时，则存在该漏洞。成功利用此漏洞的攻击者可以禁用代码完整性检
查，从而允许将经测试签名的可执行文件和驱动程序加载到目标设备。此外，攻击者可以绕过 BitLocker 和设备加密安全功能的安
全启动完整性验证。
要利用该漏洞，已获取管理权限或对目标设备具有物理访问权限的攻击者可以安装受影响的引导管理器。此安全更新通过将受影响
的引导管理器列为黑名单以修复漏洞。
变通办法
禁用 BitLocker 的安全启动完整性保护
要禁用安全启动，必须按顺序执行以下各个步骤。
1、禁用 BitLocker
a.打开“控制面板”，然后单击“BitLocker 驱动器加密”。
b.单击“关闭 BitLocker”。
c.在 BitLocker 驱动器加密对话框中，单击关闭 BitLocker。
d.退出控制面板。
2、禁用安全启动
a.单击开始，单击运行，键入 gpedit.msc，然后单击确定以打开组策略编辑器。
b.在本地计算机策略下，导航到管理模板 > Windows 组件 > BitLocker 驱动器加密 > 操作系统驱动器。
c.双击允许安全启动完整性验证。
d.在出现的对话框中，单击已禁用。
e.单击应用并关闭本地组策略编辑器。
3、重新启用 BitLocker
a.打开控制面板，然后单击BitLocker 驱动器加密。
b.单击打开 BitLocker在 BitLocker 驱动器加密对话框中，单击打开 BitLocker。
c.退出控制面板。
变通办法的影响。
禁用安全启动可能导致在更新固件版本或 BCD 设置时系统更频繁地进入 BitLocker 恢复模式。
如何撤消变通办法。
1、禁用 BitLocker
a.打开控制面板，然后单击BitLocker 驱动器加密。
b.单击关闭 BitLocker。
c.在 BitLocker 驱动器加密对话框中，单击关闭 BitLocker。
d.退出控制面板。
2、启用安全启动
a.单击开始，单击运行，键入 gpedit.msc，然后单击确定以打开组策略编辑器。
b.在本地计算机策略下，导航到管理模板 > Windows 组件 > BitLocker 驱动器加密 > 操作系统驱动器。
c.双击允许安全启动完整性验证。
d.在出现的对话框中，单击已启用。
e.单击应用并关闭本地组策略编辑器。
3、重新启用 BitLocker
a.打开控制面板，然后单击BitLocker 驱动器加密。
b.单击打开 BitLocker
c.在 BitLocker 驱动器加密对话框中，单击打开 BitLocker。
d.退出控制面板。