Hyökkäyksen toteuttaminen edellyttää lyhytaikaista fyysistä pääsyä laitteelle, mutta ei käyttäjän kirjautumistietoja. GreatXML:lle ei ollut julkaisuhetkellä Microsoftin virallista korjausta eikä CVE-tunnistetta. Kyseessä on julkinen ja teknisesti uskottava konseptitodistus, jonka riippumaton ulkoinen varmistus on kuitenkin vielä puutteellinen .

Mikä tekee GreatXMLista vaarallisen?

BitLocker on suunniteltu suojaamaan levyn tietoja, jos tietokone katoaa tai varastetaan. Windowsin palautusympäristö on kuitenkin järjestelmän luottama paikka, jossa käyttöjärjestelmä voi tehdä korjaus- ja palautustoimia. Sama ympäristö liittyy Microsoft Defenderin Offline-tarkistukseen.

GreatXML pyrkii väärinkäyttämään tätä luottamussuhdetta. Tutkijan mukaan haavoittuvuus löytyi sattumalta noin neljän tunnin tutkimustyön jälkeen . Erityisen huolestuttavaa on, että laitteen aiempi Defender Offline -tarkistus voi jättää palautusosiolle hyökkäyksen tarvitsemia artefakteja.

Näin hyökkäys etenee

Lähteissä kuvattu hyökkäysketju koostuu seuraavista vaiheista:

1. Edellytys syntyy: Microsoft Defenderin Offline-tarkistus on käynnistetty kohdelaitteessa vähintään kerran. Tällöin palautusosiolle voi jäädä muun muassa XML-muotoinen asetustiedosto ja Recovery-hakemisto .
2. Tiedostot vaihdetaan: Fyysisen pääsyn saanut hyökkääjä kopioi palautusosiolle muokatun XML-tiedoston sekä muokatun Recovery-hakemiston .
3. Laite käynnistetään palautustilaan: Windows käynnistyy WinRE-ympäristöön, jonka katsotaan kuuluvan luotettuun palautusprosessiin. Tämän seurauksena BitLocker voi avata salatun aseman kysymättä salasanaa, PIN-koodia tai palautusavainta .
4. Järjestelmätason komentokehote avautuu: Muokattu XML-tiedosto käsitellään käynnistyksen yhteydessä, ja hyökkääjä voi saada järjestelmätason komentokehotteen. Sen kautta levyn tiedostoja voidaan lukea, kopioida tai muuttaa .

Hive Security tiivisti ongelman kuvaukseen, jonka mukaan tiedosto teki juuri sen, mihin se oli suunniteltu – mutta väärissä käsissä, väärään aikaan ja ympäristössä, johon BitLocker luottaa .

Keitä haavoittuvuus koskee?

Lähteiden mukaan riskissä ovat erityisesti Windows-laitteet, joissa:

• BitLocker on käytössä TPM-only-tilassa eli asema avautuu TPM-moduulin avulla ilman erillistä PIN-koodia;
• Microsoft Defenderin Offline-tarkistus on käynnistetty ainakin kerran; ja
• hyökkääjä pääsee laitteeseen fyysisesti käsiksi riittävän pitkäksi aikaa ja voi käynnistää sen uudelleen .

TPM-only-asetuksessa Trusted Platform Module voi luovuttaa salauksen avaimen normaalin käynnistyksen yhteydessä automaattisesti. Siksi fyysinen pääsy on tässä hyökkäyksessä ratkaiseva tekijä: hyökkääjän ei lähteiden mukaan tarvitse tietää käyttäjän salasanaa eikä hallita palautusavainta .

Kannettavat tietokoneet ja liikuteltavat työasemat ovat siksi erityisen merkittäviä kohteita. Myös palvelimet voivat kuulua vaikutusalaan, mutta fyysisen pääsyn vaatimus pienentää niiden riskiä monissa uhkamalleissa.

GreatXML on osa laajempaa Nightmare Eclipse -kampanjaa

GreatXML ei ole tutkijan ensimmäinen Windows-julkistus. Nightmare Eclipse on julkaissut vuodesta 2026 lähtien useita nollapäivähaavoittuvuuksia ja ajautunut samalla julkiseen kiistaan Microsoftin haavoittuvuuksien käsittelystä . Microsoft on arvostellut toimintatapaa ja todennut, että koordinoimattomat julkistukset altistavat asiakkaat tarpeettomalle riskille .

Kesäkuun puolivälin tilanteen mukaan kampanjaan liittyvien julkistusten tila oli seuraava:

BlueHammer oli Windows Defenderin paikallisen oikeuksien korotuksen haavoittuvuus, jonka CVSS-arvosana oli 7,8 . RedSun liittyi Defenderin pilvipohjaiseen tiedostojen palautukseen ja UnDefend allekirjoituspäivityksiin . YellowKey oli aiempi BitLocker-ohitus, kun taas GreenPlasma mahdollisti järjestelmätason oikeuksien korotuksen CTFMON-komponentin kautta .

RoguePlanet, joka julkaistiin juuri ennen GreatXMLia, hyödyntää Microsoft Defenderin tarkistus- ja käyttöhetken välistä kilpailutilannetta eli TOCTOU-ongelmaa. Sen on raportoitu voivan antaa järjestelmätason oikeudet myös täysin päivitetyissä Windows 10- ja Windows 11 -järjestelmissä .

Kesäkuun päivitykset eivät korjanneet GreatXMLia

Microsoftin 9. kesäkuuta 2026 julkaisema Patch Tuesday -päivityskierros korjasi yli 200 haavoittuvuutta, mukaan lukien kuusi nollapäivähaavoittuvuutta . Nightmare Eclipsen julkistuksista korjattiin kaksi:

• GreenPlasma (CVE-2026-45586)
• YellowKey (CVE-2026-50507)

RoguePlanet ja GreatXML jäivät päivityksen ulkopuolelle. Saatavilla olevien tietojen perusteella kummallekaan ei ollut julkaisuhetkellä virallista korjausta, ja GreatXMLilta puuttui edelleen CVE-tunniste .

Mitä organisaatioiden kannattaa tehdä nyt?

Koska virallista korjausta ei ole, organisaatioiden kannattaa käyttää väliaikaisia suojaustoimia eikä jäädä odottamaan Microsoftin päivitystä .

1. Vaihda TPM-only-asetus TPM+PIN-malliin. Tämä on tärkein asetustason kiertotapa. Kun BitLocker vaatii TPM-moduulin lisäksi PIN-koodin – tai TPM:n ja USB-käynnistysavaimen – pelkkä palautustilaan käynnistäminen ei riitä aseman avaamiseen .
2. Käytä sovellusten sallittujen listojen hallintaa. ThreatLockerin kaltaiset ratkaisut voidaan määrittää estämään luvattomien ohjelmien, komentosarjojen ja XML-pohjaisten asetustiedostojen suoritus. Näin hyökkäysketjun toteuttamista voidaan vaikeuttaa .
3. Vahvista laitteiden fyysistä suojausta. Laitteita, joissa Defender Offline -tarkistus on joskus käynnistetty, kannattaa käsitellä väliaikaisesti kohonneen riskin laitteina. Erityistä huomiota vaativat kannettavat ja muut helposti mukaan otettavat tietokoneet .
4. Selvitä, millä laitteilla Offline-tarkistus on käynnistetty. Tämä auttaa rajaamaan mahdollisesti haavoittuvat koneet ja kohdentamaan TPM+PIN-asetuksen sekä fyysiset suojaustoimet kiireellisimpiin kohteisiin.

GreatXML ei tarkoita, että jokainen BitLocker-laite olisi automaattisesti murrettavissa etänä. Hyökkäys edellyttää kuvauksen mukaan tiettyä aiempaa palautusympäristön tilaa ja fyysistä pääsyä laitteelle. Yritysten kannalta riski on silti käytännöllinen: jos hyökkäysväitteen ehdot täyttyvät, turvallisin oletus on pitää laitetta hyödynnettävissä olevana siihen asti, kunnes Microsoft julkaisee korjauksen tai antaa tarkemmat lievennysohjeet.

Hyökkäyksen toteuttaminen edellyttää lyhytaikaista fyysistä pääsyä laitteelle, mutta ei käyttäjän kirjautumistietoja. GreatXML:lle ei ollut julkaisuhetkellä Microsoftin virallista korjausta eikä CVE-tunnistetta. Kyseessä on julkinen ja teknisesti uskottava konseptitodistus, jonka riippumaton ulkoinen varmistus on kuitenkin vielä puutteellinen .

Mikä tekee GreatXMLista vaarallisen?

BitLocker on suunniteltu suojaamaan levyn tietoja, jos tietokone katoaa tai varastetaan. Windowsin palautusympäristö on kuitenkin järjestelmän luottama paikka, jossa käyttöjärjestelmä voi tehdä korjaus- ja palautustoimia. Sama ympäristö liittyy Microsoft Defenderin Offline-tarkistukseen.

GreatXML pyrkii väärinkäyttämään tätä luottamussuhdetta. Tutkijan mukaan haavoittuvuus löytyi sattumalta noin neljän tunnin tutkimustyön jälkeen . Erityisen huolestuttavaa on, että laitteen aiempi Defender Offline -tarkistus voi jättää palautusosiolle hyökkäyksen tarvitsemia artefakteja.

Näin hyökkäys etenee

Lähteissä kuvattu hyökkäysketju koostuu seuraavista vaiheista:

1. Edellytys syntyy: Microsoft Defenderin Offline-tarkistus on käynnistetty kohdelaitteessa vähintään kerran. Tällöin palautusosiolle voi jäädä muun muassa XML-muotoinen asetustiedosto ja Recovery-hakemisto .
2. Tiedostot vaihdetaan: Fyysisen pääsyn saanut hyökkääjä kopioi palautusosiolle muokatun XML-tiedoston sekä muokatun Recovery-hakemiston .
3. Laite käynnistetään palautustilaan: Windows käynnistyy WinRE-ympäristöön, jonka katsotaan kuuluvan luotettuun palautusprosessiin. Tämän seurauksena BitLocker voi avata salatun aseman kysymättä salasanaa, PIN-koodia tai palautusavainta .
4. Järjestelmätason komentokehote avautuu: Muokattu XML-tiedosto käsitellään käynnistyksen yhteydessä, ja hyökkääjä voi saada järjestelmätason komentokehotteen. Sen kautta levyn tiedostoja voidaan lukea, kopioida tai muuttaa .

Hive Security tiivisti ongelman kuvaukseen, jonka mukaan tiedosto teki juuri sen, mihin se oli suunniteltu – mutta väärissä käsissä, väärään aikaan ja ympäristössä, johon BitLocker luottaa .

Keitä haavoittuvuus koskee?

Lähteiden mukaan riskissä ovat erityisesti Windows-laitteet, joissa:

• BitLocker on käytössä TPM-only-tilassa eli asema avautuu TPM-moduulin avulla ilman erillistä PIN-koodia;
• Microsoft Defenderin Offline-tarkistus on käynnistetty ainakin kerran; ja
• hyökkääjä pääsee laitteeseen fyysisesti käsiksi riittävän pitkäksi aikaa ja voi käynnistää sen uudelleen .

TPM-only-asetuksessa Trusted Platform Module voi luovuttaa salauksen avaimen normaalin käynnistyksen yhteydessä automaattisesti. Siksi fyysinen pääsy on tässä hyökkäyksessä ratkaiseva tekijä: hyökkääjän ei lähteiden mukaan tarvitse tietää käyttäjän salasanaa eikä hallita palautusavainta .

Kannettavat tietokoneet ja liikuteltavat työasemat ovat siksi erityisen merkittäviä kohteita. Myös palvelimet voivat kuulua vaikutusalaan, mutta fyysisen pääsyn vaatimus pienentää niiden riskiä monissa uhkamalleissa.

GreatXML on osa laajempaa Nightmare Eclipse -kampanjaa

GreatXML ei ole tutkijan ensimmäinen Windows-julkistus. Nightmare Eclipse on julkaissut vuodesta 2026 lähtien useita nollapäivähaavoittuvuuksia ja ajautunut samalla julkiseen kiistaan Microsoftin haavoittuvuuksien käsittelystä . Microsoft on arvostellut toimintatapaa ja todennut, että koordinoimattomat julkistukset altistavat asiakkaat tarpeettomalle riskille .

Kesäkuun puolivälin tilanteen mukaan kampanjaan liittyvien julkistusten tila oli seuraava:

BlueHammer oli Windows Defenderin paikallisen oikeuksien korotuksen haavoittuvuus, jonka CVSS-arvosana oli 7,8 . RedSun liittyi Defenderin pilvipohjaiseen tiedostojen palautukseen ja UnDefend allekirjoituspäivityksiin . YellowKey oli aiempi BitLocker-ohitus, kun taas GreenPlasma mahdollisti järjestelmätason oikeuksien korotuksen CTFMON-komponentin kautta .

RoguePlanet, joka julkaistiin juuri ennen GreatXMLia, hyödyntää Microsoft Defenderin tarkistus- ja käyttöhetken välistä kilpailutilannetta eli TOCTOU-ongelmaa. Sen on raportoitu voivan antaa järjestelmätason oikeudet myös täysin päivitetyissä Windows 10- ja Windows 11 -järjestelmissä .

Kesäkuun päivitykset eivät korjanneet GreatXMLia

Microsoftin 9. kesäkuuta 2026 julkaisema Patch Tuesday -päivityskierros korjasi yli 200 haavoittuvuutta, mukaan lukien kuusi nollapäivähaavoittuvuutta . Nightmare Eclipsen julkistuksista korjattiin kaksi:

• GreenPlasma (CVE-2026-45586)
• YellowKey (CVE-2026-50507)

RoguePlanet ja GreatXML jäivät päivityksen ulkopuolelle. Saatavilla olevien tietojen perusteella kummallekaan ei ollut julkaisuhetkellä virallista korjausta, ja GreatXMLilta puuttui edelleen CVE-tunniste .

Mitä organisaatioiden kannattaa tehdä nyt?

Koska virallista korjausta ei ole, organisaatioiden kannattaa käyttää väliaikaisia suojaustoimia eikä jäädä odottamaan Microsoftin päivitystä .

1. Vaihda TPM-only-asetus TPM+PIN-malliin. Tämä on tärkein asetustason kiertotapa. Kun BitLocker vaatii TPM-moduulin lisäksi PIN-koodin – tai TPM:n ja USB-käynnistysavaimen – pelkkä palautustilaan käynnistäminen ei riitä aseman avaamiseen .
2. Käytä sovellusten sallittujen listojen hallintaa. ThreatLockerin kaltaiset ratkaisut voidaan määrittää estämään luvattomien ohjelmien, komentosarjojen ja XML-pohjaisten asetustiedostojen suoritus. Näin hyökkäysketjun toteuttamista voidaan vaikeuttaa .
3. Vahvista laitteiden fyysistä suojausta. Laitteita, joissa Defender Offline -tarkistus on joskus käynnistetty, kannattaa käsitellä väliaikaisesti kohonneen riskin laitteina. Erityistä huomiota vaativat kannettavat ja muut helposti mukaan otettavat tietokoneet .
4. Selvitä, millä laitteilla Offline-tarkistus on käynnistetty. Tämä auttaa rajaamaan mahdollisesti haavoittuvat koneet ja kohdentamaan TPM+PIN-asetuksen sekä fyysiset suojaustoimet kiireellisimpiin kohteisiin.

GreatXML ei tarkoita, että jokainen BitLocker-laite olisi automaattisesti murrettavissa etänä. Hyökkäys edellyttää kuvauksen mukaan tiettyä aiempaa palautusympäristön tilaa ja fyysistä pääsyä laitteelle. Yritysten kannalta riski on silti käytännöllinen: jos hyökkäysväitteen ehdot täyttyvät, turvallisin oletus on pitää laitetta hyödynnettävissä olevana siihen asti, kunnes Microsoft julkaisee korjauksen tai antaa tarkemmat lievennysohjeet.