YellowKey (CVE‑2026‑45585): ช่องโหว่ BitLocker ที่ใช้ WinRE เพื่อเข้าถึงดิสก์ที่เข้ารหัส

จุดสำคัญคือ การโจมตีนี้ ต้องมีการเข้าถึงเครื่องทางกายภาพ ผู้โจมตีต้องสามารถรีสตาร์ตเครื่องและควบคุมกระบวนการบูตหรือ recovery environment ได้

แม้จะไม่ใช่การโจมตีระยะไกล แต่ก็ยังเป็นปัญหาสำคัญ เพราะหลายองค์กรพึ่งพา BitLocker เป็นชั้นป้องกันหลักเมื่ออุปกรณ์ถูกขโมยหรือสูญหาย

การโจมตี YellowKey ทำงานอย่างไร

ตัวอย่าง proof‑of‑concept ที่เผยแพร่สู่สาธารณะอธิบายว่าการโจมตีใช้พฤติกรรมบางอย่างของ Windows Recovery Environment ซึ่งเป็นระบบที่ Windows ใช้สำหรับซ่อมแซมและกู้คืนระบบเมื่อเกิดปัญหาบูตไม่ขึ้น

ภาพรวมของกระบวนการโจมตีมีดังนี้

• ผู้โจมตีเตรียม USB หรือ EFI partition ที่มีไฟล์ FsTx (Transactional NTFS) ที่ถูกสร้างขึ้นพิเศษ
• รีบูตเครื่องเป้าหมายเข้าสู่ Windows Recovery Environment (WinRE)
• เมื่อ WinRE ประมวลผลไฟล์ FsTx ระหว่างขั้นตอน recovery จะเกิดพฤติกรรมที่สามารถเปิด shell ที่เข้าถึง storage volume ของระบบได้
• ในบางสถานการณ์ volume ที่ถูกเข้ารหัสด้วย BitLocker อาจถูกเข้าถึงได้จาก shell นั้น

ผลลัพธ์คือกระบวนการ recovery ของระบบอาจเปิดช่องให้เข้าถึงข้อมูลที่ควรจะยังถูกเข้ารหัสอยู่

ทำไมการโจมตีที่ต้องมีการเข้าถึงเครื่องจริงจึงยังสำคัญ

แม้การโจมตีต้องใช้ physical access แต่สถานการณ์แบบนี้เกิดขึ้นบ่อยในโลกจริง เช่น

• แล็ปท็อปถูกขโมยหรือทำหาย
• อุปกรณ์ถูกยึดหรือถูกตรวจสอบระหว่างการเดินทาง
• เวิร์กสเตชันที่ถูกปล่อยทิ้งไว้โดยไม่มีผู้ดูแล
• ระบบในสาขาหรือเครื่อง kiosk

องค์กรที่ใช้ BitLocker แบบ TPM‑only unlock มีความเสี่ยงมากกว่า เพราะดิสก์อาจถูกปลดล็อกอัตโนมัติในขั้นตอนบูตโดยไม่ต้องให้ผู้ใช้กรอกข้อมูลเพิ่มเติม

แนวทางลดความเสี่ยงที่ Microsoft แนะนำ

เมื่อช่องโหว่นี้ถูกเปิดเผย Microsoft ได้ยืนยันปัญหาและออกแนวทางป้องกันชั่วคราวสำหรับผู้ดูแลระบบ เนื่องจากยังไม่มีแพตช์แก้ไขเต็มรูปแบบในขณะนั้น

1. ลบค่า autofstx.exe จาก BootExecute ใน WinRE

Microsoft แนะนำให้ผู้ดูแลระบบลบรายการ autofstx.exe ในค่า BootExecute ของ WinRE image เพื่อลดการทำงานของกลไก Transactional NTFS replay ที่ exploit นี้ใช้

2. เปิดใช้ BitLocker แบบ TPM + PIN

การตั้งค่า BitLocker ให้ใช้ TPM + PIN แทน TPM อย่างเดียว จะทำให้ผู้ใช้ต้องกรอก PIN ในช่วงก่อนบูต ซึ่งช่วยลดความเสี่ยงจากผู้โจมตีที่มีเพียงเครื่องแต่ไม่มีข้อมูลยืนยันตัวตน

3. เพิ่มความปลอดภัยของระบบบูต

มาตรการเพิ่มเติมที่ช่วยลดความเสี่ยง ได้แก่

• ปิดหรือจำกัดการ boot จาก USB หรือสื่อภายนอก
• ตั้งรหัสผ่านผู้ดูแลสำหรับ UEFI/BIOS
• เปิดใช้ Secure Boot ตลอดเวลา
• ตรวจสอบการเปลี่ยนแปลงของ WinRE และการตั้งค่า boot

มาตรการเหล่านี้ช่วยลดโอกาสที่ผู้โจมตีจะเข้าถึง recovery environment ที่ exploit ต้องใช้

นักวิจัยที่เปิดเผยช่องโหว่

ช่องโหว่นี้ถูกเปิดเผยโดยนักวิจัยที่ใช้ชื่อออนไลน์ว่า Chaotic Eclipse หรือ Nightmare‑Eclipse ซึ่งได้เผยแพร่ proof‑of‑concept เพื่ออธิบายวิธีโจมตี

รายงานยังระบุว่านักวิจัยคนเดียวกันได้เผยช่องโหว่ Windows หลายรายการในช่วงเวลาใกล้กัน ซึ่งรวมถึง zero‑day อื่น ๆ ที่เกี่ยวข้องกับคอมโพเนนต์ของ Microsoft

ผู้เชี่ยวชาญด้านความปลอดภัยมักเตือนว่าเมื่อมี PoC ถูกเผยแพร่สาธารณะ โอกาสที่ผู้ไม่หวังดีจะนำไปใช้งานจริงจะเพิ่มขึ้น โดยเฉพาะในช่วงก่อนที่ผู้พัฒนาซอฟต์แวร์จะออกแพตช์แก้ไข

สิ่งที่ทีมความปลอดภัยควรเฝ้าระวัง

จนกว่าจะมีแพตช์อย่างเป็นทางการ ทีมรักษาความปลอดภัยควรจับตาสัญญาณที่อาจบ่งบอกถึงการพยายามโจมตี เช่น

• การบูตเข้าสู่ Windows Recovery Environment โดยไม่คาดคิด
• การเปลี่ยนแปลง WinRE image หรือค่า BootExecute
• การแก้ไข boot order, EFI partition หรือ Secure Boot configuration
• การพยายามบูตจาก USB ที่ไม่ได้รับอนุญาต
• การเปลี่ยนแปลงการตั้งค่า BitLocker protector หรือ TPM

การติดตามสัญญาณเหล่านี้สามารถช่วยตรวจพบการแก้ไขกระบวนการ boot หรือ recovery ที่เกี่ยวข้องกับเส้นทางการโจมตีนี้

บทเรียนสำคัญเกี่ยวกับการเข้ารหัสดิสก์

กรณีของ YellowKey แสดงให้เห็นหลักการสำคัญด้านความปลอดภัยว่า การเข้ารหัสดิสก์เพียงอย่างเดียวไม่เพียงพอ หากผู้โจมตีสามารถควบคุมกระบวนการบูตหรือระบบกู้คืนได้

องค์ประกอบอย่าง boot loader, recovery environment และ firmware ล้วนเป็นส่วนหนึ่งของ trust chain เดียวกับระบบเข้ารหัส หากส่วนใดส่วนหนึ่งมีช่องโหว่ การป้องกันทั้งหมดอาจถูกลดทอนลง

สำหรับองค์กรที่ใช้ BitLocker การผสาน pre‑boot authentication, การป้องกัน firmware และการควบคุมการบูตอย่างเข้มงวด ยังคงเป็นแนวทางสำคัญจนกว่าจะมีแพตช์แก้ไขสำหรับ CVE‑2026‑45585 อย่างสมบูรณ์