Que s'est-il passé ?
Un chercheur en sécurité informatique, actif sous les pseudonymes « NightmareEclipse » (GitHub) et « Chaotic Eclipse » (Blogspot) et déjà à l'origine de la découverte des vulnérabilités « RedSun », « UnDefend » et « BlueHammer », a mis au jour deux nouvelles failles de sécurité dans Windows. La plus grave, baptisée « YellowKey », concerne le chiffrement de disque BitLocker. Il a également révélé, sous le nom « MiniPlasma », une vulnérabilité d'élévation de privilèges dans un pilote Windows, susceptible de fournir aux attaquants des droits SYSTEM.
Les détails
La faille d'élévation de privilèges « MiniPlasma » concerne le « Windows Cloud Files Mini Filter ». Microsoft avait déjà publié un correctif à ce sujet en 2020, sous la référence CVE-2020-17103 (score CVSS de 7,0, niveau de risque « élevé »). On ne sait pas clairement si ce correctif a ensuite été retiré ou si Microsoft ne l'a simplement pas déployé de manière généralisée. Ce qui est certain, c'est que la vulnérabilité signalée à l'époque par Project Zero de Google reste exploitable. Tant le nouveau code de preuve de concept (PoC) publié sur GitHub que l'ancien PoC de Google fonctionnent toujours et permettent aux attaquants d'obtenir des droits SYSTEM.
La vulnérabilité « YellowKey » affectant BitLocker mérite une attention plus particulière. À l'instar de l'attaque récemment révélée basée sur BitUnlocker, les attaquants doivent disposer d'un accès physique local à l'appareil ciblé. Le déroulement est le suivant : le dossier « \System Volume Information\FsTx » est copié sur une simple clé USB formatée avec un système de fichiers compatible Windows (FAT, FAT32, exFAT ou NTFS). Cette clé est ensuite branchée sur un ordinateur sur lequel BitLocker est activé. En maintenant la touche Maj enfoncée lors du démarrage du système, il est possible de faire démarrer l'appareil dans l'environnement de récupération Windows. Les attaquants cliquent alors sur « Redémarrer » puis maintiennent la touche Ctrl enfoncée. Cela lance un shell disposant d'un accès illimité au disque normalement protégé par BitLocker.
L'attaque fonctionnerait sous Windows 11 ainsi que sous Windows Server 2022 et 2025. L'environnement de récupération de Windows 10 n'est pas concerné. Particulièrement préoccupant : les mesures de protection qui atténuent les attaques dérivées de BitUnlocker – comme la demande d'un code PIN avant le déchiffrement ou la protection par TPM – ne semblent pas efficaces contre « YellowKey ».
L'expert en sécurité informatique Will Dormann a testé l'exploit et publié ses observations sur Mastodon. Selon lui, il n'est même pas indispensable de maintenir la touche Ctrl enfoncée pour accéder au shell protégé par BitLocker. Le mécanisme exact n'est pas encore totalement élucidé à l'heure actuelle, mais tout indique que le dossier « \System Volume Information\FsTx », lié à la fonctionnalité Transactional NTFS, permettrait de débloquer le contenu d'autres disques. Un témoignage d'utilisateur publié en réponse à la publication de Dormann indique par ailleurs que, dans un cas testé, le disque C a bien été déverrouillé, mais pas le disque D — la faille ne semble donc pas produire systématiquement le même effet.
Un autre élément notable figure dans le billet de blog du chercheur : Microsoft aurait apparemment corrigé silencieusement, lors des dernières mises à jour du Patch Tuesday, la vulnérabilité « RedSun » précédemment signalée, qui permettait aux attaquants d'obtenir des droits administrateur — et cela sans publier d'entrée CVE correspondante.
Mise en perspective
Pour les responsables d'infrastructures de sécurité et les décideurs IT, ces découvertes sont significatives car elles touchent des mécanismes de protection centraux de Windows. BitLocker est considéré comme l'outil standard de protection des données sensibles sur les terminaux, notamment dans les entreprises disposant de postes de travail mobiles ou dans les environnements présentant un risque élevé de vol de matériel. Si cette protection peut être contournée par des moyens relativement simples — une clé USB et un accès physique —, cela relativise fortement la valeur du chiffrement, en particulier dans les scénarios de perte ou de vol d'appareils.
La vulnérabilité d'élévation de privilèges « MiniPlasma » doit également être prise au sérieux, car elle démontre qu'une faille déjà connue depuis 2020 et théoriquement corrigée reste apparemment exploitable. Cela soulève des questions quant au suivi et à la diffusion des mises à jour de sécurité par Microsoft, et souligne que les entreprises ne devraient pas se contenter de la simple présence d'un correctif, mais devraient vérifier régulièrement son efficacité réelle.
Conseils pratiques
- Limiter systématiquement l'accès physique aux appareils, par exemple via des contrôles d'accès aux locaux abritant des équipements informatiques sensibles et par des mots de passe BIOS/UEFI empêchant le démarrage à partir de supports externes.
- Désactiver ou restreindre, si possible, les ports USB sur les systèmes critiques via une politique ou une solution matérielle dédiée, en l'absence de besoin opérationnel avéré.
- Surveiller particulièrement l'environnement de récupération Windows et les options de démarrage sur les systèmes concernés (Windows 11, Server 2022/2025), et compliquer techniquement leur accès, par exemple au moyen de stratégies de groupe appropriées.
- Vérifier régulièrement l'état réel des correctifs plutôt que de se fier uniquement à l'installation d'une mise à jour — en particulier pour des vulnérabilités anciennes déjà signalées comme le CVE-2020-17103.
- Installer rapidement les dernières mises à jour Windows, Microsoft ayant, selon les informations rapportées, déjà corrigé silencieusement la faille « RedSun » lors du dernier Patch Tuesday.
- Dans les environnements particulièrement sensibles, envisager des mesures de sécurité physique supplémentaires, comme le stockage du matériel sensible dans des coffres à dépôt ou des armoires serveurs sécurisées, afin d'empêcher d'emblée tout accès physique non autorisé.
Perspectives
Il reste à voir comment Microsoft réagira aux signalements « YellowKey » et « MiniPlasma », et si des correctifs officiels accompagnés des entrées CVE correspondantes seront publiés rapidement. Le fait que le mécanisme exact de la faille BitLocker ne soit, selon les rapports, pas encore totalement compris laisse également présager de nouvelles investigations de la part de la communauté de la recherche en sécurité. En attendant, les responsables IT ne devraient pas négliger la sécurisation physique de leurs appareils comme couche de protection complémentaire au chiffrement des disques, car il est démontré que les mécanismes de protection logiciels seuls ne peuvent garantir une sécurité totale.
