YellowKey（CVE‑2026‑45585）：利用WinRE绕过BitLocker加密的零日漏洞

尽管条件有限，但在现实场景中并不罕见。例如设备丢失、旅行期间被暂时扣留、无人值守的工作站或分支机构终端等情况，都可能给攻击者提供机会。

YellowKey攻击是如何实现的

公开的概念验证（PoC）显示，该攻击利用了**Windows恢复环境（WinRE）**在处理文件系统事务日志时的行为。

大致流程如下：

• 攻击者准备一个USB设备或EFI分区，并放入特制的FsTx（Transactional NTFS）文件。
• 将目标设备重新启动到Windows恢复环境（WinRE）。
• 在恢复流程中，WinRE处理这些恶意FsTx文件。
• 该过程可能触发一个shell环境，并允许访问系统存储卷。
• 由于恢复环境处理文件系统状态的方式，BitLocker保护的卷可能在此时变为可访问。

结果就是：攻击者可能在恢复模式下读取本应被加密保护的数据。

为什么“物理访问攻击”仍然危险

很多组织在威胁模型中假设：只要启用了BitLocker，即使设备丢失，数据仍然安全。但YellowKey提醒我们，这种假设并不总是成立。

常见风险场景包括：

• 笔记本电脑被盗或遗失
• 出入境或安检期间设备被暂时扣留
• 办公室无人值守设备
• 分支机构服务器或自助终端

如果系统配置为仅使用TPM自动解锁BitLocker，风险会更高，因为系统启动时可能无需用户输入即可解锁磁盘。

微软建议的缓解措施

在漏洞公开时，微软尚未发布完整补丁，但提供了若干临时防护建议。

1. 移除 autofstx.exe BootExecute 项

管理员可以从WinRE镜像的注册表 BootExecute 值中删除 autofstx.exe。这样可以阻止攻击利用的Transactional NTFS事务回放机制。

2. 启用 BitLocker 的 TPM + PIN

微软建议将BitLocker配置为TPM + PIN启动认证，而不是仅依赖TPM自动解锁。这样系统启动时需要输入PIN码，从而显著降低物理攻击者获取磁盘访问权限的可能性。

3. 加固启动与恢复环境

其他建议的防御措施包括：

• 禁用或限制USB/外部设备启动
• 为UEFI/BIOS设置强管理员密码
• 确保Secure Boot保持开启
• 监控WinRE或启动配置的异常变更

这些措施属于“纵深防御”，目的是防止攻击者进入恢复环境并执行攻击。

漏洞披露者：Chaotic Eclipse

YellowKey由一名安全研究人员公开披露，其在线别名为Chaotic Eclipse或Nightmare‑Eclipse。研究者同时发布了概念验证代码，展示了漏洞的实际利用方式。

这次披露属于其一系列Windows漏洞研究的一部分，其中还包括针对其他微软组件的零日漏洞报告。

在安全行业中，一旦PoC公开，在厂商发布补丁之前，漏洞被利用的门槛通常会明显降低。

企业在补丁发布前应重点监控什么

在官方修复发布之前，安全团队可以关注以下潜在异常信号：

• 设备意外进入Windows恢复环境（WinRE）
• WinRE镜像或BootExecute配置被修改
• EFI分区、启动顺序或Secure Boot状态变化
• 未授权的USB启动尝试
• BitLocker保护器或TPM配置异常变化

这些迹象可能表明攻击者试图操纵系统启动链或恢复环境。

对磁盘加密安全的一个重要提醒

YellowKey再次说明一个核心安全原则：磁盘加密本身并不能完全保证数据安全。

加密机制、启动加载器、恢复环境以及固件配置实际上属于同一个信任链。如果其中任何一环被攻击者操控，都可能削弱加密的保护效果。

因此，对于依赖BitLocker保护数据的组织来说，在微软发布正式补丁之前，将磁盘加密、预启动认证、固件安全和启动控制策略结合使用，仍然是降低风险的关键做法。