YellowKey (CVE‑2026‑45585) : comment une faille WinRE peut contourner BitLocker

Contrairement à de nombreuses vulnérabilités modernes, YellowKey ne peut pas être exploitée à distance. L’attaquant doit disposer d’un accès physique à l’appareil, par exemple pour redémarrer la machine et interagir avec son environnement de démarrage ou de récupération.

Malgré cette contrainte, l’impact reste important, car de nombreux modèles de sécurité supposent que BitLocker protège les données si un appareil est volé ou brièvement manipulé par un tiers.

Comment fonctionne l’exploit YellowKey

Les démonstrations publiques et les preuves de concept montrent que l’attaque exploite un comportement interne du Windows Recovery Environment, l’environnement intégré à Windows utilisé pour réparer ou diagnostiquer un système qui ne démarre plus correctement.

Le scénario d’attaque se déroule généralement ainsi :

• L’attaquant prépare une clé USB ou une partition EFI contenant des fichiers FsTx (Transactional NTFS) spécialement conçus.
• La machine cible est redémarrée dans Windows Recovery Environment (WinRE).
• Lors du traitement de ces fichiers malveillants pendant les routines de récupération, l’exploit déclenche l’ouverture d’un shell donnant accès au volume de stockage du système.
• En raison de la manière dont WinRE gère l’état du système de fichiers lors de la récupération, le volume protégé par BitLocker peut alors devenir accessible depuis ce shell.

Dans ce scénario, le chiffrement BitLocker se retrouve effectivement contourné pendant la phase de récupération, ce qui permet d’accéder à des données qui devraient normalement rester chiffrées.

Pourquoi les attaques avec accès physique restent critiques

Même si la faille nécessite un accès direct à l’appareil, ce type de situation est loin d’être rare dans les incidents réels. Parmi les cas typiques :

• ordinateurs portables volés ou perdus
• appareils temporairement saisis lors de déplacements ou d’inspections
• postes de travail laissés sans surveillance
• systèmes installés dans des agences ou kiosques peu sécurisés

Les organisations utilisant BitLocker avec déverrouillage TPM uniquement peuvent être particulièrement exposées. Dans cette configuration, le disque peut se déverrouiller automatiquement au démarrage sans authentification utilisateur.

Les mesures de mitigation recommandées par Microsoft

Au moment de la divulgation publique de la vulnérabilité, Microsoft avait confirmé le problème mais n’avait pas encore publié de correctif complet. L’entreprise a toutefois fourni des mesures temporaires pour réduire les risques.

1. Supprimer l’entrée autofstx.exe dans BootExecute

Les administrateurs sont invités à retirer l’entrée autofstx.exe de la valeur de registre BootExecute dans l’image WinRE. Cette modification empêche le mécanisme de relecture Transactional NTFS exploité par l’attaque.

2. Activer BitLocker avec TPM + PIN

Microsoft recommande d’utiliser l’authentification TPM + PIN plutôt que le déverrouillage TPM seul. Cela impose la saisie d’un code PIN au démarrage et réduit fortement la probabilité qu’un attaquant puisse accéder au disque simplement en redémarrant la machine.

3. Renforcer la sécurité du démarrage

D’autres mesures de défense en profondeur incluent :

• désactiver ou restreindre le démarrage depuis des supports USB ou externes
• protéger les paramètres UEFI/BIOS avec un mot de passe administrateur fort
• maintenir Secure Boot activé
• surveiller toute modification de WinRE ou de la configuration de démarrage

Ces protections rendent beaucoup plus difficile l’accès à l’environnement de récupération nécessaire pour exploiter la faille.

Le chercheur derrière la découverte

La vulnérabilité YellowKey a été révélée publiquement par un chercheur en sécurité utilisant les pseudonymes Chaotic Eclipse et Nightmare‑Eclipse, qui a également publié un code d’exploitation de démonstration (proof‑of‑concept).

Cette divulgation s’inscrit dans une série plus large de rapports de vulnérabilités visant des composants Windows, attribués au même chercheur. Parmi eux figurent d’autres failles zero‑day affectant l’écosystème Microsoft.

Les experts en cybersécurité rappellent que lorsque des preuves de concept deviennent publiques avant la sortie d’un correctif, la barrière technique pour exploiter la faille diminue souvent rapidement.

Ce que les équipes de sécurité devraient surveiller

En attendant la publication d’un correctif officiel, les équipes de sécurité peuvent surveiller certains indicateurs susceptibles de révéler une tentative d’exploitation :

• démarrages inattendus dans Windows Recovery Environment
• modifications des images WinRE ou des paramètres BootExecute
• changements du boot order, des partitions EFI ou de Secure Boot
• tentatives de démarrage depuis USB non autorisées
• modification inattendue des paramètres BitLocker ou TPM

Ces signaux peuvent indiquer une manipulation du processus de démarrage ou de récupération associé à cette attaque.

Une leçon plus large sur le chiffrement des disques

YellowKey rappelle un principe fondamental de la sécurité : le chiffrement complet d’un disque ne suffit pas si la chaîne de démarrage ou de récupération peut être manipulée.

Les environnements de récupération, les chargeurs de démarrage et le firmware font partie de la même chaîne de confiance que le mécanisme de chiffrement lui‑même. Une faiblesse dans l’un de ces éléments peut compromettre l’ensemble de la protection.

Pour les organisations utilisant BitLocker, il reste donc essentiel de combiner le chiffrement avec une authentification pré‑démarrage, des protections firmware et des contrôles stricts du processus de boot, au moins jusqu’à la publication d’un correctif complet pour CVE‑2026‑45585.