Co się stało?
Badacz bezpieczeństwa IT, występujący pod pseudonimami „NightmareEclipse” (GitHub) i „Chaotic Eclipse” (Blogspot), który wcześniej ujawnił luki „RedSun”, „UnDefend” i „BlueHammer”, odkrył dwie kolejne luki bezpieczeństwa w Windows. Poważniejsza z nich, nazwana „YellowKey”, dotyczy szyfrowania dysków BitLocker. Dodatkowo, pod nazwą „MiniPlasma”, odkrył lukę eskalacji uprawnień w jednym ze sterowników Windows, która może zapewnić atakującym uprawnienia SYSTEM.
Szczegóły
Luka eskalacji uprawnień „MiniPlasma” dotyczy „Windows Cloud Files Mini Filter”. Microsoft opublikował już w 2020 roku poprawkę pod identyfikatorem CVE-2020-17103 (wartość CVSS 7.0, ocena ryzyka „wysoka”). Nie jest jasne, czy ta poprawka została później wycofana, czy Microsoft po prostu nie rozpowszechnił jej wystarczająco szeroko. Faktem jest, że luka zgłoszona wówczas przez Google Project Zero nadal daje się wykorzystać. Zarówno nowy exploit proof-of-concept na GitHub, jak i stary PoC od Google, wciąż działają i zapewniają atakującym uprawnienia SYSTEM.
Więcej uwagi wymaga luka „YellowKey” w BitLockerze. Podobnie jak w niedawno ujawnionym ataku opartym na BitUnlocker, atakujący potrzebują lokalnego fizycznego dostępu do docelowego urządzenia. Przebieg ataku: na zwykły pendrive z systemem plików kompatybilnym z Windows (FAT, FAT32, exFAT lub NTFS) kopiowany jest folder „\System Volume Information\FsTx”. Ten nośnik jest podłączany do komputera z włączonym BitLockerem. Przytrzymanie klawisza Shift podczas uruchamiania systemu pozwala uruchomić urządzenie w środowisku odzyskiwania Windows. Tam atakujący klikają „Restart”, a następnie przytrzymują klawisz Ctrl. To uruchamia powłokę z nieograniczonym dostępem do dysku, który w rzeczywistości powinien być chroniony przez BitLocker.
Atak ma działać na Windows 11 oraz Windows Server 2022 i 2025. Środowisko odzyskiwania Windows 10 nie jest dotknięte tym problemem. Szczególnie niepokojący jest fakt, że środki zabezpieczające, które pomagają w przypadku ataków wywodzących się z BitUnlocker – takie jak wymaganie kodu PIN przed odszyfrowaniem oraz ochrona TPM – najwyraźniej nie działają w przypadku „YellowKey”.
Ekspert ds. bezpieczeństwa IT Will Dormann przetestował exploit i opublikował swoje obserwacje na Mastodonie. Według niego przytrzymanie klawisza Ctrl wcale nie jest konieczne, aby uzyskać dostęp do powłoki chronionej przez BitLocker. Dokładny mechanizm działania nie jest obecnie jeszcze w pełni wyjaśniony, jednak wiele wskazuje na to, że za pośrednictwem folderu „\System Volume Information\FsTx”, należącego do Transactional NTFS, można odblokować zawartość innych dysków. Komentarz jednego z użytkowników pod wpisem Dormanna wskazuje ponadto, że w jednym z testowanych przypadków udostępniony został dysk C, natomiast dysk D już nie – luka nie wydaje się więc działać w każdym przypadku tak samo.
Godna uwagi jest również inna informacja z wpisu na blogu badacza: Microsoft najwyraźniej po cichu naprawił wcześniej zgłoszoną lukę „RedSun”, która dawała atakującym uprawnienia administratora, wraz z aktualizacjami z ostatniego Patch Tuesday – bez publikowania towarzyszącego wpisu CVE.
Analiza
Dla operatorów infrastruktury bezpieczeństwa i osób odpowiedzialnych za IT te odkrycia są istotne, ponieważ dotyczą kluczowych mechanizmów ochronnych systemu Windows. BitLocker uchodzi za standardowe narzędzie ochrony wrażliwych danych na urządzeniach końcowych, na przykład w firmach z mobilnymi stanowiskami pracy lub w środowiskach o wysokim ryzyku kradzieży sprzętu. Jeśli tę ochronę można obejść stosunkowo prostymi środkami – pendrive'em i fizycznym dostępem – znacząco relatywizuje to wartość szyfrowania, zwłaszcza w scenariuszach, w których urządzenia giną lub zostają skradzione.
Poważnie należy potraktować również lukę eskalacji uprawnień „MiniPlasma”, ponieważ pokazuje ona, że luka znana już od 2020 roku i rzekomo załatana, najwyraźniej nadal daje się wykorzystać. Rodzi to pytania dotyczące śledzenia i dystrybucji aktualizacji bezpieczeństwa przez Microsoft i podkreśla, że firmy nie powinny polegać wyłącznie na fakcie istnienia poprawki, lecz regularnie sprawdzać jej faktyczną skuteczność.
Wskazówki praktyczne
- Konsekwentnie ograniczać fizyczny dostęp do urządzeń, na przykład poprzez kontrolę dostępu do pomieszczeń z wrażliwym wyposażeniem IT oraz hasła BIOS/UEFI uniemożliwiające uruchamianie systemu z zewnętrznych nośników danych.
- W miarę możliwości dezaktywować lub ograniczać porty USB w krytycznych systemach za pomocą polityki lub rozwiązania sprzętowego, jeśli nie ma operacyjnej potrzeby ich używania.
- Szczególnie monitorować środowisko odzyskiwania Windows i opcje rozruchu w dotkniętych systemach (Windows 11, Server 2022/2025) oraz technicznie utrudniać do nich dostęp, na przykład za pomocą odpowiednich zasad grupy.
- Regularnie weryfikować status poprawek zamiast polegać wyłącznie na instalacji aktualizacji – zwłaszcza w przypadku starszych, już zgłoszonych luk, takich jak CVE-2020-17103.
- Instalować na bieżąco aktualne aktualizacje Windows, ponieważ według doniesień Microsoft już po cichu naprawił lukę „RedSun” podczas ostatniego Patch Tuesday.
- W środowiskach szczególnie wymagających ochrony rozważyć dodatkowe fizyczne środki zabezpieczające, na przykład przechowywanie wrażliwego sprzętu we wrzutniach depozytowych lub zabezpieczonych szafach serwerowych, aby z góry uniemożliwić nieuprawniony fizyczny dostęp.
Perspektywy
Pozostaje niejasne, jak Microsoft zareaguje na zgłoszenia „YellowKey” i „MiniPlasma” oraz czy wkrótce zostaną opublikowane oficjalne poprawki wraz z odpowiednimi wpisami CVE. Fakt, że dokładny mechanizm działania luki BitLocker, jak wskazują doniesienia, nie jest jeszcze w pełni zrozumiany, pozwala ponadto oczekiwać dalszych badań ze strony społeczności zajmującej się bezpieczeństwem. Do tego czasu osoby odpowiedzialne za IT nie powinny zaniedbywać fizycznego zabezpieczenia swoich urządzeń jako dodatkowej warstwy ochrony uzupełniającej szyfrowanie dysków, ponieważ okazało się, że same mechanizmy ochrony programowej nie mogą zagwarantować pełnego bezpieczeństwa.
