Der Sicherheitsforscher mit dem Pseudonym Chaotic Eclipse (Nightmare-Eclipse), der zuvor drei Schwachstellen in Microsoft Defender offengelegt hatte, hat Informationen über zwei neue, bislang ungepatchte Zero-Day-Schwachstellen in Windows veröffentlicht: YellowKey – ein Umgehen der BitLocker-Verschlüsselung über die Windows-Wiederherstellungsumgebung (WinRE), und GreenPlasma – eine Privilegieneskalation über die Komponente Windows CTFMON. Beide Schwachstellen betreffen Windows 11 und Windows Server 2022/2025, für beide liegen öffentliche PoC-Materialien vor, Microsoft hat jedoch bislang keine offiziellen Empfehlungen veröffentlicht. Organisationen, die BitLocker ohne vorgelagerte Authentifizierung per PIN einsetzen, sollten ihre Konfiguration zum Schutz der Datenträger umgehend überprüfen.

YellowKey: BitLocker-Umgehung über transaktionales NTFS

Die Schwachstelle YellowKey stellt eine Umgehung der vollständigen Laufwerksverschlüsselung durch BitLocker dar, die ausschließlich über die Windows-Wiederherstellungsumgebung (WinRE) ausgenutzt wird. Nach Angaben des Forschers läuft der Angriff wie folgt ab:

1. Auf einem USB-Datenträger oder der EFI-Partition werden speziell präparierte Dateien im Verzeichnis FsTx (Mechanismus für transaktionales NTFS) abgelegt
2. Der USB-Datenträger wird an das Zielsystem mit aktiviertem BitLocker angeschlossen
3. Das System wird in WinRE neu gestartet
4. Durch Gedrückthalten der Strg-Taste wird eine Kommando-Shell mit Zugriff auf das entschlüsselte Volume aufgerufen

Den zentralen technischen Aspekt bestätigte der unabhängige Forscher Will Dormann, der über eine erfolgreiche Reproduktion der Schwachstelle berichtete: Transaktionale NTFS-Strukturen auf dem USB-Datenträger sind in der Lage, die Datei winpeshl.ini auf einem anderen Volume (X:) zu löschen, was dazu führt, dass cmd.exe anstelle der regulären Wiederherstellungsumgebung gestartet wird – zu diesem Zeitpunkt ist das BitLocker-Volume bereits entschlüsselt. Dormann hob zudem hervor, dass die Fähigkeit des Verzeichnisses \System Volume Information\FsTx auf einem Volume, beim Wiedergeben von Transaktionen den Inhalt eines anderen Volumes zu verändern, für sich genommen bereits eine eigenständige Schwachstelle darstellt.

Nach Aussage des Forschers verhindert ein Schutz mit TPM+PIN die Ausnutzung von YellowKey nicht. Diese Behauptung stammt jedoch aus einer einzigen Quelle und ist bislang nicht unabhängig bestätigt worden. Für die Ausnutzung ist physischer Zugriff auf das Gerät erforderlich.

GreenPlasma: unvollständige, aber vielversprechende Privilegieneskalation

Die zweite Schwachstelle, GreenPlasma, steht im Zusammenhang mit der beliebigen Erstellung von Objekten für Speichersektionen über die Windows-Komponente Collaborative Translation Framework (CTFMON). In seiner derzeitigen Form ist der veröffentlichte PoC unvollständig – er demonstriert nicht den Erhalt einer vollwertigen Shell mit SYSTEM-Rechten. Dennoch erlaubt der Exploit einem nicht privilegierten Benutzer, beliebige Objekte für Speichersektionen innerhalb von Verzeichnisobjekten zu erzeugen, die für Prozesse auf SYSTEM-Ebene schreibbar sind. Dies eröffnet potenziell die Möglichkeit, privilegierte Dienste oder Treiber zu manipulieren, die diesen Pfaden implizit vertrauen.

Trotz der Unvollständigkeit des aktuellen PoC ist der Primitive zum beliebigen Erzeugen von Sektionen in privilegierten Verzeichnissen eine ernstzunehmende Grundlage für eine vollwertige Privilegieneskalation. Die Weiterentwicklung des Exploits zu einem funktionsfähigen Angriff ist eine Frage der Zeit und der Qualifikation des Angreifers.

Kontext: Eskalation des Konflikts mit Microsoft

Die Veröffentlichung von YellowKey und GreenPlasma erfolgte etwa einen Monat, nachdem derselbe Forscher drei Schwachstellen in Microsoft Defender offengelegt hatte – BlueHammer, RedSun und UnDefend. Von diesen erhielt BlueHammer die Kennung CVE-2026-33825 und wurde von Microsoft behoben. Nach Aussage des Forschers wurde RedSun „still“ beseitigt, ohne Veröffentlichung einer Empfehlung – diese Behauptung ist jedoch nicht durch unabhängige Quellen bestätigt.

Der Forscher äußert offen seine Unzufriedenheit mit der Behandlung von Schwachstellen durch das MSRC und kündigte eine „große Überraschung“ für Microsoft an, die auf den Patch Tuesday im Juni 2026 terminiert ist. Ein Vertreter von Microsoft hatte zuvor die Verpflichtung des Unternehmens zu koordiniertem Vulnerability Disclosure und zur Untersuchung sämtlicher Meldungen zu Sicherheitsproblemen betont.

Parallele Forschung: Downgrade-Attacke auf BitLocker

Parallel zur Offenlegung von YellowKey hat das französische Unternehmen Intrinsec eine eigene Angriffskette auf BitLocker über ein Herabstufen der Bootloader-Version beschrieben. Die Methode nutzt eine grundlegende Eigenschaft von Secure Boot aus: Es wird lediglich das Signaturzertifikat der Binärdatei geprüft, nicht jedoch deren Version. Dadurch lässt sich eine alte, verwundbare Version von bootmgfw.efi laden, die mit einem vertrauenswürdigen PCA-2011-Zertifikat signiert ist.

Der Kern der Attacke: In die SDI-Datei (System Deployment Image) wird ein zweites WIM-Image mit einer modifizierten Blob-Tabelle eingebettet. Der Bootloader prüft die Integrität des ersten (legitimen) WIM, bootet jedoch vom zweiten (vom Angreifer kontrollierten), das ein kompromittiertes WinRE-Image mit cmd.exe enthält. Nach Angaben von Intrinsec lässt sich der Angriff in weniger als fünf Minuten auf vollständig aktualisierten Windows-11-Systemen durchführen und erfordert physischen Zugriff.

Laut der Dokumentation von Microsoft plant das Unternehmen, die veralteten PCA-2011-Zertifikate in naher Zukunft zu widerrufen. Bis zum Zeitpunkt des Widerrufs kann der alte, verwundbare Bootloader, der mit diesem Zertifikat signiert ist, geladen werden, ohne dass der Schutz durch Secure Boot anspricht.

Bewertung der Auswirkungen

Dem größten Risiko durch YellowKey sind Organisationen ausgesetzt, die auf BitLocker im TPM-only-Modus ohne vorgelagerte Authentifizierung vertrauen – eine typische Konfiguration für Unternehmenslaptops. Physischer Zugriff auf das Gerät (Diebstahl, Beschlagnahme, Insiderzugriff) in Kombination mit einem USB-Datenträger kann potenziell den Zugriff auf entschlüsselte Daten ermöglichen. Für GreenPlasma ist das unmittelbare Risiko aufgrund des unvollständigen PoC geringer, allerdings kann der zugrundeliegende Angriffsprimitive weiterentwickelt werden.

Praktische Empfehlungen

• Aktivieren Sie die vorgelagerte Authentifizierung von BitLocker mit PIN – dies ist die Empfehlung von Microsoft selbst und die wirksamste Maßnahme gegen beide Klassen von Angriffen auf BitLocker
• Migrieren Sie die Vertrauenskette des Bootloaders auf das Zertifikat CA 2023 und widerrufen Sie das alte PCA-2011-Zertifikat entsprechend den Microsoft-Richtlinien zum Widerruf von Bootloadern
• Beschränken Sie das Booten von USB über UEFI/BIOS-Richtlinien auf Unternehmensgeräten
• Kontrollieren Sie den physischen Zugriff auf kritische Systeme – beide Angriffe auf BitLocker erfordern direkten Kontakt mit dem Gerät
• Beobachten Sie den Patch Tuesday im Juni 2026 – angesichts der vom Forscher angekündigten neuen Offenlegungen könnten die Updates kritische Sicherheitskorrekturen enthalten

Die Kombination aus YellowKey, GreenPlasma und der unabhängigen Forschung von Intrinsec verdeutlicht ein systemisches Problem: Das Schutzmodell von BitLocker in der TPM-only-Konfiguration ohne vorgelagerte PIN ist bei physischem Zugriff für mehrere unabhängige Angriffsvektoren anfällig. Vorrangige Maßnahmen für Administratoren sind die Aktivierung einer BitLocker-PIN und die Migration auf das Zertifikat CA 2023 vor dem Widerruf von PCA 2011, der für den kommenden Monat geplant ist.