Yellowkey Exploit betrifft Windows 11 und Server 2025: Microsoft hat Gegenmaßnahme der BitLocker-Zero-Day-Schwachstelle

Technische Analyse von CVE-2026-45585

Die BitLocker-Schwachstelle ist unter der Bezeichnung CVE-2026-45585 registriert und hat eine CVSS-Schwerebewertung von 6.8. Der Schweregrad wird als mittel eingestuft, was vor allem daran liegt, dass der Angriff physischen Zugriff auf das Gerät erfordert. Die technische Komplexität, die für die Umgehung des Angriffs erforderlich ist, ist jedoch gering, was das Risiko für Geräte erhöht, die unbeaufsichtigt oder in ungesicherten Umgebungen stehen.

Der Exploit zielt speziell auf die Windows-Wiederherstellungsumgebung ab. Indem sie die Art und Weise ausnutzen, wie das System in den Wiederherstellungsmodus gebootet wird, können Angreifer die Verschlüsselungsebenen umgehen, die normalerweise das Systemlaufwerk schützen.

Mitigations

Da ein offizielles Windows-Update noch nicht verfügbar ist, müssen Administratoren kritische Systeme manuell absichern. Microsoft hat ein Skript veröffentlicht, das auf das WinRE-Image des Systems abzielt. Dieses Skript entfernt die Datei autofstx.exe aus dem BootExecute-Registrierungswert und verhindert damit, dass die ausführbare Datei mit hohen Rechten in der Wiederherstellungsumgebung ausgeführt wird.

Für Unternehmen, die eine alternative Sicherheitsebene suchen, bietet die Umstellung von einer reinen TPM-Konfiguration auf eine TPM+PIN-Konfiguration Schutz gegen die aktuelle Version von Yellowkey. Diese Anforderung einer Pre-Boot-PIN verhindert, dass der Exploit den notwendigen Zugriff auf das Laufwerk erhält. Betroffene Software und Zeitplan für den Einsatz

Die Sicherheitslücke betrifft die folgenden Betriebssysteme:

• Windows 11 (Versionen 24H2, 25H2 und 26H1)
• Windows Server 2025

Es wird erwartet, dass ein dauerhafter Fix über den Standard-Windows-Update-Kanal verteilt wird. Das voraussichtliche Veröffentlichungsdatum fällt mit dem Juni-Patchday zusammen. Bis dahin sind das manuelle Skript und die PIN-Konfigurationen die einzigen verfügbaren Schutzmaßnahmen.

Potenzial für weitere Exploits

Obwohl die aktuelle Sicherheitslücke auf TPM-Konfigurationen beschränkt ist, haben Sicherheitsforscher darauf hingewiesen, dass sich die Bedrohungslandschaft weiterentwickeln könnte. Berichte deuten darauf hin, dass es weitere Exploits gibt, mit denen PIN-geschützte Konfigurationen umgangen werden können. Auch wenn diese zusätzlichen Methoden noch nicht veröffentlicht wurden, deuten sie auf ein anhaltendes Risiko für die aktuelle BitLocker-Architektur hin.