Was ist passiert?
Ein IT-Sicherheitsforscher, der unter den Namen „NightmareEclipse“ (GitHub) und „Chaotic Eclipse“ (Blogspot) auftritt und bereits die Schwachstellen „RedSun“, „UnDefend“ und „BlueHammer“ veröffentlicht hatte, hat zwei weitere Sicherheitslücken in Windows aufgedeckt. Die schwerwiegendere Lücke namens „YellowKey“ betrifft die BitLocker-Laufwerksverschlüsselung. Zusätzlich hat er unter dem Namen „MiniPlasma“ eine Rechteausweitungslücke in einem Windows-Treiber entdeckt, die Angreifern SYSTEM-Rechte verschaffen kann.
Die Details
Die Rechteausweitungslücke „MiniPlasma“ betrifft den „Windows Cloud Files Mini Filter“. Microsoft hatte hier bereits im Jahr 2020 unter der Kennung CVE-2020-17103 (CVSS-Wert 7.0, Risikoeinstufung „hoch“) einen Patch veröffentlicht. Unklar ist, ob dieser Patch später zurückgezogen wurde oder ob Microsoft ihn schlicht nicht flächendeckend verteilt hat. Fakt ist: Die von Googles Project Zero damals gemeldete Schwachstelle lässt sich weiterhin ausnutzen. Sowohl der neue Proof-of-Concept-Exploit auf GitHub als auch der alte PoC von Google funktionieren demnach noch immer und verschaffen Angreifern SYSTEM-Rechte.
Mehr Aufmerksamkeit erfordert die „YellowKey“-Schwachstelle in BitLocker. Ähnlich wie bei der kürzlich bekannt gewordenen, auf BitUnlocker basierenden Attacke benötigen Angreifer lokalen physischen Zugriff auf das Zielgerät. Der Ablauf: Auf einen einfachen USB-Stick mit einem Windows-kompatiblen Dateisystem (FAT, FAT32, exFAT oder NTFS) wird der Ordner „\System Volume Information\FsTx“ kopiert. Dieser Stick wird an einen Rechner mit aktiviertem BitLocker angeschlossen. Durch Gedrückthalten der Shift-Taste beim Systemstart lässt sich das Gerät in die Windows-Wiederherstellungsumgebung booten. Dort klicken Angreifer auf „Restart“ und halten anschließend die Strg-Taste gedrückt. Das startet eine Shell mit uneingeschränktem Zugriff auf das eigentlich durch BitLocker geschützte Laufwerk.
Der Angriff soll unter Windows 11 sowie Windows Server 2022 und 2025 funktionieren. Die Windows-Wiederherstellungsumgebung von Windows 10 ist nicht betroffen. Besonders brisant: Schutzmaßnahmen, die bei den BitUnlocker-abgeleiteten Angriffen helfen – etwa die Abfrage einer PIN vor dem Entschlüsseln sowie TPM-Schutz – greifen bei „YellowKey“ offenbar nicht.
Der IT-Sicherheitsexperte Will Dormann hat den Exploit getestet und seine Beobachtungen auf Mastodon veröffentlicht. Ihm zufolge ist das Gedrückthalten der Strg-Taste gar nicht zwingend notwendig, um Zugriff auf die BitLocker-geschützte Shell zu erhalten. Die genaue Funktionsweise ist derzeit noch nicht vollständig geklärt, es deutet aber vieles darauf hin, dass sich über den „\System Volume Information\FsTx“-Ordner, der zu Transactional NTFS gehört, die Inhalte anderer Laufwerke freischalten lassen. Ein Nutzerbericht unter Dormanns Beitrag weist zudem darauf hin, dass in einem getesteten Fall zwar das C-Laufwerk freigegeben wurde, das D-Laufwerk hingegen nicht – die Lücke scheint also nicht in jedem Fall gleich zu wirken.
Bemerkenswert ist zudem ein weiterer Hinweis aus dem Blog-Beitrag des Forschers: Microsoft habe die zuvor gemeldete „RedSun“-Schwachstelle, die Angreifern Adminrechte verschafft, offenbar mit den Updates zum letzten Patchday stillschweigend behoben – ohne einen begleitenden CVE-Eintrag zu veröffentlichen.
Einordnung
Für Betreiber von Sicherheitsinfrastruktur und IT-Verantwortliche sind diese Funde relevant, weil sie zentrale Schutzmechanismen von Windows betreffen. BitLocker gilt als Standardwerkzeug zum Schutz sensibler Daten auf Endgeräten, etwa in Unternehmen mit mobilen Arbeitsplätzen oder in Umgebungen mit hohem Diebstahlrisiko für Hardware. Wenn sich dieser Schutz mit vergleichsweise einfachen Mitteln – einem USB-Stick und physischem Zugriff – umgehen lässt, relativiert das den Wert der Verschlüsselung erheblich, insbesondere in Szenarien, in denen Geräte verloren gehen oder gestohlen werden.
Auch die Rechteausweitungslücke „MiniPlasma“ ist ernst zu nehmen, da sie zeigt, dass eine bereits 2020 bekannte und vermeintlich gepatchte Schwachstelle offenbar weiterhin ausnutzbar ist. Das wirft Fragen zur Nachverfolgung und Verteilung von Sicherheitsupdates durch Microsoft auf und unterstreicht, dass Unternehmen sich nicht allein auf das Vorhandensein eines Patches verlassen sollten, sondern dessen tatsächliche Wirksamkeit regelmäßig überprüfen müssen.
Praxis-Tipps
- Physischen Zugriff auf Geräte konsequent einschränken, etwa durch Zugangskontrollen zu Räumen mit sensibler IT-Ausstattung und durch BIOS-/UEFI-Passwörter, die den Boot-Vorgang von externen Datenträgern verhindern.
- USB-Ports an kritischen Systemen nach Möglichkeit per Richtlinie oder Hardware-Lösung deaktivieren oder einschränken, wenn kein betrieblicher Bedarf besteht.
- Windows-Wiederherstellungsumgebung und Boot-Optionen auf betroffenen Systemen (Windows 11, Server 2022/2025) besonders im Blick behalten und den Zugriff darauf technisch erschweren, etwa durch entsprechende Gruppenrichtlinien.
- Patch-Status regelmäßig verifizieren statt sich allein auf die Installation eines Updates zu verlassen – insbesondere bei älteren, bereits gemeldeten Schwachstellen wie CVE-2020-17103.
- Aktuelle Windows-Updates zeitnah einspielen, da Microsoft laut Bericht die „RedSun“-Lücke bereits stillschweigend über den letzten Patchday behoben hat.
- In besonders schützenswerten Umgebungen zusätzliche physische Sicherungsmaßnahmen prüfen, etwa die Aufbewahrung sensibler Hardware in Einwurftresoren oder gesicherten Serverschränken, um den unbefugten physischen Zugriff von vornherein zu verhindern.
Ausblick
Es bleibt abzuwarten, wie Microsoft auf die „YellowKey“- und „MiniPlasma“-Meldungen reagiert und ob zeitnah offizielle Patches mit entsprechenden CVE-Einträgen veröffentlicht werden. Die Tatsache, dass die genaue Funktionsweise der BitLocker-Lücke laut den Berichten noch nicht vollständig verstanden ist, lässt zudem weitere Untersuchungen durch die Sicherheitsforschung erwarten. Bis dahin sollten IT-Verantwortliche die physische Absicherung ihrer Geräte als ergänzende Schutzebene zur Laufwerksverschlüsselung nicht vernachlässigen, da sich gezeigt hat, dass Software-Schutzmechanismen allein keinen vollständigen Schutz garantieren können.
